FileZilla — die Arroganz der Macht?

FileZilla LogoIch schwöre ja mittlerweile als FTP-Client auf FileZillawie hier nach dem Release der neuen Version erwähnt. Doch heute hatte ich wieder so ein Aha-Erlebnis , wo ich mich frage: Ist es für mich als Mensch, der von Programmierung ebenso wenig Ahnung hat wie vom Stricken, nicht völlig egal, ob ich mich von Closed Source abhängig mache oder bei Open Source von einer arroganten und überheblichen Community-Führung? In beiden Fällen bin ich auf die Software angewiesen, die mir geliefert wird, in beiden Fällen muss ich ob meiner Unkenntnis den jeweiligen Projekten vertrauen. Wenn ich aber bei unterschiedlicher Software dann jeweils ein Problem habe, besteht meiner Meinung nach schon ein kleiner Unterschied.

Bei Open Source kann ich — auch mit harten Worten — kritisieren, setze mich im Gegenzug aber immer ein stückweit der Gegenkritik aus, mach es besser, Du bekommst es umsonst. Bei Closed Source ist dem nicht so, da bin ich im Regelfall als Kunde König. Man erfüllt mir entweder meinen Wunsch, oder ich wechsle die Software (ja, auch Open Source kann ich in die Tonne treten, wenn es mir nicht gefällt, ich weiß). Ich setze mich selbst aber als Kunde keiner Kritik à la beser machen aus. Ich weiß, das ist jetzt mal als ganz einfacher Tunnelblick dargestellt — natürlich gibt es bei der Wahl zwischen Closed Source und Open Source auch weitere Punkte zu beachten. Das hat aber durchaus seinen Grund, warum ich das hier so plastisch und einfach darstelle. Keine Diskussion also bitte darüber… 😉

Ich sitze mal wieder fassungslos vor dem Recher und bin am Tippseln. Wie gesagt, ich liebe meinen FileZilla. Selbst die Server-Variante lief schon mal über Monate hier auf meinem Rechner als Team-Server — die Leute, die beim Desert Inn dabei waren, können sich mit Sicherheit noch daran erinnern. 😉 Ich habe durchaus den einen oder anderen in meinem Bekanntenkreis an FileZilla herangeführt — eigentlich könnte alles gut sein. Eigentlich. Heute habe ich mal wieder meine Festplatte gesäubert. Programme, die nicht benötigt wurden, deinstalliert, TMP-Dateien gelöscht, das kpl. Programm bis hin zur Defragmentierung. Und wie das so ist, zufällig stolpert man über eine Datei, schaut hinein und traut seinen Augen nicht. FileZilla 3.0 speichert die Serverdaten in der Datei:

C:\Dokumente und Einstellungen\Benutzername\
Anwendungsdaten\FileZilla\sitemanager.xml
.

Soweit, so gut. Ich lade also diese Datei in meinen UltraEdit — und mich trifft der Schlag:

FileZilla Sitemanager

Ja, Ihr seht richtig — FileZilla speichert die Passwörter locker-flockig im Klartext ab. Und nein, es ist nicht nur bei Mozilla oder anderen Servern, die einen anonymen Zugang gewähren, der Fall — auch F!XMBR, .get privacy und andere FTP-Passwörter werden im Klartext angezeigt. Da musste ich natürlich erstmal im Internet auf Entdeckungsreise gehen — kann ja nun wirklich nicht sein, dass ich der Erste bin, dem das auffällt. Und richtig, ich war selbstvertändlich nicht der Erste. Tja, und was soll ich sagen? It’s not a Bug — it’s a Feature. Ich spaße bei sowas nicht, es ist wirklich genau so gewollt. botb, seines Zeichens Admin im FileZilla-Forum schreibt zu dem Feature:

This is by design. It’s the task of the operating system to protect the user’s files.

Es gibt natürlich nicht nur diese arrogante Antwort oder gar ein Because it’s pointless. End of discussion — nein, auch eine Erklärung gibt es:

So, let’s say FileZilla would obfuscate it’s passwords. What would that change? Instead of the raw passwords, an attacker gets the obscured password. Since FileZilla is open source, he would just look at the source and *ding* he has the original password. And in case of proprietary software he still has the source. Take a disassembler and *ding* again original password. And that doesn’t even consider tools specialized in unobfuscating passwords which known the obfuscation schemes of most programs.

Ich glaube, den wenigsten Leuten geht es da um die bösen Hacker, btw. Hacker sind nicht die bösen, aber das ist noch eine andere Baustelle. Es geht um die liebe Familie, die wunderbaren Freunde oder oder um andere Personen, die aus welchen Gründen auch immer Zugriff auf den gleichen Rechner haben, wie der FileZilla-User. Von diesen Leuten werden die wenigsten die Kenntnis haben, das verschlüsselte Passwort wieder umzuwandeln — manche werden aber wissen, wo sie die FTP-Daten des Hausherrn finden können und wie sie einen FTP-Client zu bedienen haben. Aber in seiner unglaublichen Arroganz zieht der Admin botg das Offensichtliche nicht in Betracht — geschweige denn, dass er das wirkliche Problem dieses netten Features erkennt. Sowas lässt mich dann immer mit dem Kopf schütteln und beweist dann doch immer wieder, dass ich in manchen Dingen einfach zu naiv bin. Wenn auch in einem anderen Zusammenhang, so schrieb ich doch zu FileZilla nach dem Release 3.0:

Da aber OpenSource, vertraue ich den Leuten schon, sonst hätte es schon lange einen Aufschrei der Community gegeben. 😉 Da habe ich keine Lust und Zeit, mir Gedanken oder gar Sorgen drüber zu zu machen.

Tja, so kann man sich täuschen.…

Jetzt kann ich mir auch ungefähr vorstellen, warum es auf PortableApps.com noch nicht das neue Release gibt — neben fehlenden Features, die manche User in der 2’er-Version liebgewonnen haben, ist das sicherlich auch ein Sicherheitsrisiko par excellence — man stelle sich nur mal vor, man verliert mit diesen Daten den USB-Stick. Für mich gibt es da nur eine Konsequenz: FileZilla wird nur noch an dem Rechner genutzt, an dem ausschließlich meine Wenigkeit Zugriff hat und weiterempfehlen tue ich ihn nicht mehr. Und ich werde mal wieder die eine oder andere Software testen — das kann ja auch nicht verkehrt sein. 😉

It’s not a Bug — it’s a Feature — ich fass das nicht, das will einfach nicht in meinen Kopf rein… :roll:

36 Antworten zu “FileZilla — die Arroganz der Macht?”

  1. Kai Raven sagt:

    Ich hatte mir auch mal ein, zwei 3er Versionen angeschaut und die schon wegen der von Dir erwähnten fehlenden Funktionen verworfen — frag mich jetzt nicht, welche das genau waren 😉

    Da ich generell alle Daten mit sensitiven Inhalten (E-Mails, Dokumente, Logs, Konfigurationsdateien mit Passwörtern, Passwortdatenabanken und teilweise ganze Programme) in einem Truecrypt Container auf Festplatte und USB-Stick speichere oder dahin umleite, war ich auch bei der 2er Version in portabler Form geblieben. Mal davon abgesehen mag ich FileZilla als FTP-Client.

    Das Abspeichern von Passwörtern oder Log-in Daten im Klartext ist eine Unart, über die man leider ab und an stolpert. Wie war das nochmal mit «Privacy by Design», das Softwareentwickler generell beherzigen sollten? 😉

  2. Oliver sagt:

    Filezilla 2 ist übrigens keinen deut sicherer. Zwar kann man das Passwort nicht lesen, aber man könnte es selbst als Laie entziffern augrund der verwendeten Technik — es hat nicht mehr Wert als die Sternchen in Windows, die man mittels einem Tool auch sichtbar machen kann. Übrigens genau das Argument, warum man dann auch letztendlich bei v3 dieses ganz weg ließ, da nonsense in dieser Implementierung. Sprich in puncto Sicherheit ist v2 == v3. Filezilla wird in jeder Vulnerability List als nicht sicher eingestuft.

    Der Tipp für v2 oder v3 ist von jeder Stelle also, keine Passwörter damit zu speichern.

    Es ist auch ein Trugschluß zu meinen, das ein guter Programmierer automatisch Ahnung von Sicherheit besitzt. Das ist nonsene, Sicherheit ist wieder ein Bereich der gelernt werden muß, da langt es auch nicht irgendetwas zu integrieren das man nicht wirklich versteht, wie es beim Gros der Software geschieht.

  3. Benni sagt:

    Na da bin ich ja froh, dass ich aus Prinzip schon, keine Passwörter abspeicher, wenn es sich um kritische Anwendungen handelt. Danke für den Hinweis! Hat einmal wieder mehr mein Misstrauen gegenüber Software geweckt. Da werde ich in Zukunft wohl mal wieder öfter drauf schauen.

  4. awokenMIND sagt:

    Ich bin ebenfalls der Meinung, dass gespeicherte Passwörter per se nicht sicher sind. Ob Sie nun völlig offensichtlich im Klartext in Configs stehen oder aber mehr oder weniger gut verschlüsselt abgelegt sind, ist dabei egal. Sobald Zugriff auf das Programm besteht, hat man Zugriff auf die Passwörter. Nicht auf das Passwort an sich, aber auf die Funktion, es nutzen zu können. Da ist die Lösung eines Master-Passworts schon als großer Schritt in Richtung mehr Sicherheit anzusehen. Klar ist auch das knackbar, aber heutzutage ist eine AES-Verschlüsselung bereits effizient (und einfach) implementierbar, so dass eine Passwort-Liste, die mit einem Master-Passwort basierend auf AES verschlüsselt wurde, selbst für den geschäftlichen Bereich ausreichend sicher ist. Da brauch dann auch nicht mit Hack-Anleitungen via Google-Research gekontert werden, ich möchte erst einmal jemandem begegnen, der AES locker flockig knackt (und ich rede hier von sinnvollen Zeiträumen, die einem zum Knacken zur Verfügung stehen).

    Die Bequemlichkeit, die man sich selbst als User einrichtet indem man Passwörter speichert, gibt man nunmal jedem weiter, der denselben Zugriff hat. In der Hinsicht ist das Argument des FileZilla-Entwicklers gar nicht so verkehrt. Und da die Sicherheit durch verschlüsselte Configs (ohne Master-Passwort und gutem Crypto-Algo) kaum höher wird, habe ich auch schon immer solche Programme auf verschlüsselte Medien ausgelagert. Entweder den EFS-Schutz von NTFS genutzt oder aber (weil ich noch bequemer bin und die Programme meist überall brauche…) das Programm samt Config in einen entsprechenden TrueCrypt-Container mit starker Verschlüsselung gepackt.

    @Oliver:
    Ich stimme Dir deutlich zu, dass Programmierer nicht automatisch Sicherheitskenntnisse haben. IT-Sicherheit ist ein eigenständiger Bereich, der — genau wie Software-Engineering — gar nicht so klein ist. Will man sich also in beiden Bereichen gut auskennen, hat man ein hartes Stück Arbeit vor sich. Nötig ist die Kombination eigentlich auch nicht, da eine gute Zusammenarbeit von Sicherheits– und Software-Spezi schon immer gute und sichere Software hervorgebracht hat.

  5. Samthammel sagt:

    @Usul: Wenn du unter Windows eine Mehrbenutzerumgebung eingerichtet hast, und jedes Familienmitglied seinen eigenen Account hat (und das nicht mal nur wegen sicherheitstechnischen Hintergründen), dann können andere nicht auf diesen Pfad zugreifen, den Chris genannt hat. Ebenso sieht es mit der Paßwortdatei vom Firefox aus. Dafür muß man natürlich NTFS haben und konsequent den Account alleine benutzen.
    Ist halt alles auch eine Frage, wie man sein Windows noch eingerichtet hat — bezogen auf Sicherheit…
    Und ich halte mich nicht für paranoid, aber wenn meine Freundin an den Rechner möchte wird der Benutzer gewechselt, ganz einfach. Das hat nichts mit fehlendem Vertrauen zu tun, das ist mehr so ein Grundprinzip.

  6. awokenMIND sagt:

    @Samthammel:
    Das ist dann aber nur ein NTFS-Zugriffsmodell, schnell mit einer Linux-CD/USB-Stickt gebootet und schwupps ist Dein Benutzer im Windows völlig egal. Sämtliche Daten die nicht verschlüsselt sind, sind dann auf einmal abrufbar. Man sollte sich diesbezüglich nicht zu sehr in Sicherheit wiegen. Du kannst den entsprechenen Ordner natürlich mit EFS verschlüsseln lassen, dann ist das Ganze auch nach außen hin sicher.
    Was ich aber noch viel besser finde, ist der Ansatz, der bei Notebooks genutzt wird. Komplette Festplatten-Verschlüsselung: Beim Booten wird das Master-Password zur Nutzung der Platte abgefragt. Platte ausbauen und irgendwo anders in ein Linux-System einhängen ist also nicht, weil der Festplatteninhalt verschlüsselt ist. Wie und mit welchen Algos steht noch außen vor, aber die Idee ist gut. Mit einer solchen kompletten Verschlüsselung könnte man auf den Zugriffsschutz (!= Verschlüsselung) von Windows vertrauen, zumindest solange nur Windows auf dem Rechner installiert ist.

    Ich finde es auch gar nicht paranoid, dass Du für Deine Freundin einen anderen User hast. Ich wurde und werde dafür auch immer komisch angeschaut, aber es ist nunmal eine Benutzerverwaltung, mit der man heutzutage arbeitet und das ist die konsequente Umsetzung des echten Lebens. Ich lasse ja auch nicht andere Leute im echten Leben meine Ärmel und Beine wie eine Marionette steuern :) Jeder agiert in seinem Namen und das ist gut so.

  7. tante sagt:

    Ich muss dem Filezilla Entwickler Recht geben:

    Wenn die Passwortdatei im $HOME des Nutzers liegt, dann sollte darauf nur der Nutzer selbst zugriff haben, die Aufgabe des Schutzes ist also aufs Betriebssystem übertragen.

    Das hat sicherlich den Nachteil, dass, wenn jemand physikalisch Zugriff auf den Rechner hat, er/sie auch einfach von einer Live CD booten kann, um das Originalbetriebsystem zu umgehen, aber wenn jemand so an den Rechner rangehen kann, könnte er auch innerhalb von wenigen Minuten nen Keylogger installieren und hätte alles, was er/sie will.

    Die Passwortdatei zu «verschleiern» erzeugt nur falsche Sicherheit, eine gefühlte Sicherheit, die eigentlich gar nicht da ist: Wie beschrieben könnte jeder, der ernsthaft Interesse hat, die Datei einfach entschlüsseln.

    Sicherlich gibt es Möglichkeiten, sowas wie Schlüsselringe zu bauen, d.h. die Daten liegen wirklich verschlüsselt auf der Platte, aber die Implementierung einer solchen Software ist auch nicht ganz trivial: So ist oft das Problem, dass zwar alles verschlüsselt in Dateien liegt, aber dann die Daten unverschlüsselt im RAM rumfliegen. In Deinem Beispielfalle (die bösen Mitbenutzer) ist schon das zu viel, ebe weil man in so einem Falle dem Rechner gar nicht mehr trauen kann.

    Nun ist das hier eine ziemliche Schwarzweissmalerei und sicherich gibt es da Abstufungen, ich habe das nur absichtlich mal überspitzt um eines klar zu machen: Die Illusion von Sicherheit ist recht einfach zu erschaffen, die Illusion von Sicheheit ist aber sogar noch schlimmer als offensichtliche Unsicherheit.

  8. awokenMIND sagt:

    @tante:
    Das Argument mit dem RAM verweist natürlich auch wieder auf ein gutes Betriebssystem, das den RAM-Zugriff zwischen Programmen verbietet oder zumindest regelt. Leider bedarf es hierfür auch guter Software, die nicht mittels Buffer-Overflow o.ä. Tore ins Sicherheitsschiff reißt.

  9. truetigger sagt:

    Wer die Bequemlichkeit nutzen will, dass ein Programm Passwörter für ihn merkt, muss doch _wissen_, dass dieses PW dann auch nachvollziehbar am Rechner herumliegt — ob nun im Klartext oder mit einer *bling*-Routine. Ich finde die Antwort des Programmierers absolut in Ordnung: Das PW wird in einer Datei gespeichert, auf die nur der entsprechende Betriebs-System-User (und der Admin) Zugriff hat. Damit obliegt die Sicherheit dem Betriebssystem.

    Fast jedes FTP-Programm hat ja die Möglichkeit, Passwörter zu speichern oder eben bei jedem Login nachzufragen. Kann man FileZilla nicht auch nutzen, ohne das PW in die Konfig zu geben?

    Aber wie Usul schrieb, es gibt eben unterschiedliche Auffassung darüber. Ich wüsste spontan auch gar nicht, was man da besser machen könnte :) Auf die «Pseudo-Verschlüsselung» aus V2 ganz zu verzichten ist mir da eher angenehmer als eine «härtere» Verschlüsselung einzubauen.

  10. Usul sagt:

    @Samthammel

    Ich weiß das mit den getrennten Benutzerkonten, das ist genau das, was der Filezilla-Entwickler meinte, als er sagte

    It’s the task of the operating system to protect the user’s files.

    Es ist Sache des Betriebssystems. Ganz genau.

  11. Oliver sagt:

    Mal davon abgesehen kann man sich auch noch direkt am Ausgang bedienen, warum also erst einbrechen — wird ja eh alles Klartext gesendet 😀

    Das ist auch den wenigsten bewußt, ähnlich als würde man sein Pin vom Automaten aufs T-Shirt drucken.

  12. awokenMIND sagt:

    Die Verbildlichung mit dem PIN auf dem T-Shirt finde ich etwas zu simpel. Um solch einen PIN lesen und als PIN interpretieren zu können, bedarf es nicht sonderlich viel Können. Netzwerkdatenströme aber mitzulesen und die wichtigen Daten herauszufiltern ist dann doch schon etwas (!) komplexer. Machbar, auch für Skript-Kiddies, aber man muss schon mehr Verständnis mitbringen, als nur Lese-Kenntnisse aus der 2. Klasse und das Verständnis «PIN => Geld abheben».

    Genausowenig wie man Sicherheit höher anpreisen sollte als sie ist, sollte man aufpassen, wie «unsicher» man gewisse Szenarien einstuft. Es gibt immer Leute, die sich einfach nur die Kernaussage «FTP = egal wann unsicher» merken, ohne die bildliche Übertreibung zu sehen. FTP ist nicht sicher, wollte es auch nie sein, dafür gibt es andere Varianten, aber es mit einem öffentl. getragenen PIN gleichzusetzen, wäre etwas zu gewagt.

  13. Oliver sagt:

    >Um solch einen PIN lesen und als PIN interpretieren zu können, bedarf es nicht sonderlich viel Können.

    Du mußt auch schon einen Schritt weiterdenken und dann paßt es: was machst du mit dem Pin, wenn du diese Nummer auf einem T-Shirt siehst? Assoziierst du diese 4 stellige Nummer direkt mit einem Pin und rennst zum nächsten Automaten? Ja und was soll dir das bringen? Erst einmal nichts. Du brauchst noch ein paar Infos mehr.

    >Machbar, auch für Skript-Kiddies, aber man muss schon mehr Verständnis mitbringen, als nur Lese-Kenntnisse aus der 2. Klasse und das Verständnis “PIN => Geld abheben”.

    Fazit, man benötigt nur etwas kriminelle Energie und die Gewißheit das es jemand machen kann ob bei FTP oder Pin. Die Wahrscheinlichkeit das es jemand machen kann ist groß genug in beiden Fällen. Wenn ich die ganzen Raubkopierer sehe und wie sie sich abmühen und sonst aber nichts hinbekommen, glaube mir es muß einfach nur ein lohnendes Ziel sein. Und genau der letztere Punkt schützt noch Anwender die überhaupt nicht wissen mit was sie da herum spielen.

    Auf die mangelnde Fähigkeit des Unbekannten zu vertrauen ist ebenso sinnfrei wie das Credo der Kommerz-Boys: security by obscurity. Glauben ist der sichere GAU in puncto Sicherheit.

  14. tante sagt:

    @awokenMIND:
    Das auslesen von FTP Passwörtern aus Netzwerkstreams ist absolut trivial, muss man nichtmal selber machen, gibt es schon fertig (eben weils ja wie Oliver schon anmerkte unverschlüsselt gesendet wird).

    @FTP:
    Es ist der blanke Hohn, wie lange man sich schon auf dieses miese unsichere Protokoll verlässt, gerade wo es nun wirklich eimerweise bessere Optionen gibt. Ich persönlich nutze eigentlich nur scp/sshfs aber schon WebDAV über SSL/HTTPS wäre eine bequemere und sicherere Option.

  15. awokenMIND sagt:

    Ich geb Dir auch in Deinen Punkten Recht, aber ich sehe dennoch einen Unterschied zwischen einem üblichen Ganoven, der lediglich den PIN lesen, ihn als PIN erkennen und galant das Portemonnaie entwenden muss, und einem «Hacker/Cracker», der erst einmal den Datenstrom mitsniffen muss. Bei letzterem geht ja die kriminelle Energie vom Angreifer selbst aus, bei ersterem wird einem quasi auf die Nase gebunden «auch wenn Du es noch nicht wusstest, hier kannst Du Geld verdienen». In der Welt läuft schließlich jeder täglich herum, Netzwerkströme hingegen liest nicht jeder freiwillig mit :)

  16. tante sagt:

    Um die PIN zu verwednen, muss man die Karte klauen/klonen, das ist meist schwerer und mit mehr krimineller Energie verbunden, als Netzwerkverkehr mitzusniffen 😉

  17. awokenMIND sagt:

    @tante:
    Ich weiß ja, wie einfach das ist, habe es selbst schon aus Interesse getestet. Nur gehört dazu schon mehr kriminelle Energie, als der Gelegenheitsdiebstahl eines Portemonnaies weil einem der PIN direkt ins Auge strahlt. Um Traffic zu sniffen, muss man erstmal auf die Idee kommen, kriminell sein zu wollen, der PIN-Druck auf dem Shirt hingegen fordert potentielle Kriminelle quasi zur Strafhandlung auf.

    Ich benutze auch soweit es machbar ist nur noch SCP/SFTP. Wenn’s um meine eigenen Server geht, kommt dann sogar Public-Key-Authentifizierung ins Spiel… ja, ich bin paranoid…

  18. awokenMIND sagt:

    Taschendiebe gibt es schon seit Ewigkeiten wie Sand am Meer.

  19. awokenMIND sagt:

    @Oliver:
    Richtig, «security by obscurity» ist das absolute NO-GO und totaler Bockmist!!!! Sicherheitsfirmen, die damit argumentieren, meide ich aus Prinzip.

    Das kann man gar nicht oft genug wiederholen (deshalb erwähn ich’s an dieser Stelle noch einmal).

  20. Oliver sagt:

    >als der Gelegenheitsdiebstahl eines Portemonnaies

    Nun auch dazu gehören Fähigkeiten. Und nur die «Guten» werden nicht entdeckt oder aber der Bestohlene ist zu unachtsam und dann langt auch ein mittelprächtiger Ganove. Gleiches paßt jedoch auch wiederum im technischen Bereich.
    Dazu kommt noch eine andere Kleinigkeit, einen EInbruch im System oder einen profanen «Diebstahl» würde das Gros der Leute überhaupt nicht mitbekommen, erst wenn der Schaden per se in Kraft tritt. Den Umstand eines Taschendiebstahls kann man vielleicht nicht unbedingt immer verhindern, aber weitaus mehr bekommen diesen sofort mit.

    Diese «kriminelle» Energie beginnt schon in Firmen, wenn ein Angestellter versucht mittels diverser Tools die vom Admin installierten Mechanismen zum Schutz des Netzwerks auszuhebeln, weil er Filesharing z.B. über die Standleitung der Firma betreiben möchte. Der muß gar nichts auf dem Kasten haben, das lohnende Ziel wiederum genügt, der Rest findet sich im Netz.

    Wenn du dir ein Netz auf dem Campus anschaut wirst du genau diesen Umstand bemerken, es wird permanent versucht, es gelingt auch sehr häufig. Normale Leute in der Regel, die kaum etwas mit dem Computer am Hut haben, aber «etwas haben möchten».

    Und genau das ist das Problem bei derlei Dingen, wie hier die Sicherheit. Sicherheit ist kein lohnendes Ziel, man möchte nicht vorrausbauen, sondern ergibt sich lieber unsäglichen Relativierungen. Ich z.B. sehe Schutzmechanismen diverser Natur unter Windows als relativen Unfug an, da man meist auf Automatismen baut ohne die Technik zu verstehen. Der Umstand des tatsächlichen Schutzes ist dann in der Regel nur Meister Zufall. Ein Betriebssystem bildet die Ausgangsbasis für Schutz, die Windows einfach nicht bietet. Das fängt schon bei den PFWs an, geht über AVs usw. Auf der richtigen Basis baut dann das Wissen auf und da gibts nur eine Alternative zu: kein Wissen == Internet abschalten.

  21. awokenMIND sagt:

    Lassen wir das Thema mit der PIN und dem Sniffing, ich sehe weiterhin einen grundlegenden Unterschied, denn sonst könntest Du ja auch problemlos mit Deiner PIN auf dem Shirt herumlauen (FTP nutzt Du ja auch). Ich denke wir verstehen unsere Argumente, legen die Stärke dieser einfach nur anders aus.

    Zur Ausgangsbasis für Sicherheit Betriebssystem bleibt natürlich das etwas unhandliche, umständliche und deshalb stark kritisierte TCPA näher im Auge zu behalten, denn ich kenne eigentlich kein Betriebssystem (da Software), welches wirklich sicher ist. Und ohne Wissen ist dies ja auch gar nicht machbar, wie Du schon schriebst. Ein Windows (oder anderes OS) mit entspechend guter Firewall und AV kann man nunmal auch nicht jeder konfigurieren und automatisieren ist nicht drin. Ergo: Unwissen = Unsicherheit.

    Das trifft aber leider auch auf alle Bereiche zu. Wenn Du nicht weißt, an welchen Stellen Dein Auto angreifbar ist, kannst Du nicht entsprechend Sicherheitsvorkehrungen schaffen. Ich weiß das bspw. nicht (hey! das soll kein hinweis sein, mein auto zu knacken ;)) und muss auf die Methoden vertrauen, die mir mein Auto bietet.

    Durch den hohen Automatisierungsgrad der Computer (wofür sind die Dinger denn da ;)) werden die Konsequenzen natürlich enorm wichtig. Dein Bsp mit dem FileSharer in der Firma bspw, der ohne Absicht Lücken ins Firewall-Konzept reißt, finde ich in der Hinsicht gut. Kleine Sicherheitslücken an der entsprechend lukrativen Umgebung (große Firma) werden dann natürlich drastisch. In solchem Umgebungen ist dann konsequenterweise eine entsprechende Sicherheits-Policy mit zugehörigem Mitarbeiterstamm nötig. In den Firmen in denen ich bisher tätig war, war es Nicht-Computer-Fachleuten einfach nicht möglich, Sicherheitslücken aufzureißen. Zumindest nicht im Bereich des Netzwerks und nicht aus technischer Sicht. Und bevor man über die technischen Möglichkeiten des Eindringens redet, sollte man sich lieber Social Engineering zur Brust nehmen, denn die größte Lücke ist nunmal leider der Mensch :-/ Ich will nicht zählen müssen, wie viele Mitarbeiter mir schon Passwörter verraten haben (und das teilweise ungefragt…).

    Man muss eigentlich gar nicht so viel Pech haben, um einen Admin in der Firma zu haben, der absoluter Tekkie ist und den in der Tiefgarage «zufällig» gefundenen, virenverseuchten 8GB Stick mit dem kleinen, süßen roten Herzaufkleber (der nach interessanten Daten schreit) unter seinem Admin-Account beherzt in den USB-Slot wandern zu lassen :)

  22. Oliver sagt:

    >FTP nutzt Du ja auch

    Ehrlich gesagt nur hier auf dem Server und das auch seltenst bei der Pflege einer neuen Blogversion — habe halt keine andere Möglichkeit. Ansonsten arbeite ich ausschließlich mittels SSH oder VPN.

    >In den Firmen in denen ich bisher tätig war, war es Nicht-Computer-Fachleuten einfach nicht möglich, Sicherheitslücken aufzureißen

    Es ist immer möglich, sobald die Leute beispielsweise nur browsen dürfen ist es recht einfach. Never say never again 😉

    >Ein Windows (oder anderes OS) mit entspechend guter Firewall

    Da müssen war dann aber Firewall und «Firewall» unterscheiden. Es gibt natürlich prof. Systeme, aber ich meinte den Umstand der Personal Firewall, die einfach nur vorgaukeln jedoch behände auszuhebeln sind aufgrund ihrer Funktionsweise.

  23. awokenMIND sagt:

    Was kann man denn bei einem surfenden User erreichen, der keine/kaum Rechte hat? Selbst wenn man durch bspw. Buffer-Overflows an System-Rechte kommt, ist man noch lange kein Netzwerk– oder gar Domänenadmin. Mir fällt auf die Schnelle eigentlich nichts spektakuläres ein, dass ich durch einen fast rechte-losen User einem Netzwerk antun könnte.

  24. Chris sagt:

    @Usul: 1. Kommentar gelöscht. Beleidigst Du nochmal meine Familie oder meine Freunde, ist hier Holland in Not und Du bist hier die längste Zeit Gast auf diesem Blog gewesen. Familie, Freunde war selbstverständlich nur ein Beispiel. Aus unterschiedlichsten Gründen können unterschiedliche Personen Zugriff auf einen Rechner haben.

    Zum Rest beteilige ich mich nicht, da geht es nicht um ShowWin oder andere Möglichkeiten ein Passwort zu sniffen oder entschlüsseln. Um das zu verstehen muss man halt den Artikel verstehen. Es zeigt halt nur, dass ich voll ins Schwarze getroffen habe mit meiner Meinung, ich bin unwürdig… :roll:

    … aber immerhin in der der Realität … 😉

  25. Usul sagt:

    @Chris

    sorry für das mit der Familie, das ist mir nachher auch aufgefallen, dass das zu konkret war. Ungünstig formuliert. Wären wir hier in einem Forum mit Account, hätte ich editieren können, aber ging leider nicht. Du hättest natürlich auch nur die konkrete Passage löschen können, die Familie hast du ins Spiel gebracht, nicht ich … Eigentlich hatte ich auch gehofft, dass man das so versteht, wie es gemeint war und es kein konkreter, persönlicher Angriff werden sollte sondern eher allgemein gesprochen. Also nochmal, es war nicht konkrete deine Familie gemeint (die kenn ich ja nicht), sondern die Familie, die du meintest und die derjenige, der sich um seine Passwörter sorgt, an seinen Rechner lässt. Ich hoffe, das war jetzt nicht wieder beleidigend, ich weiß nämlich langsam nicht mehr, wie ich es noch umschreiben soll .…

  26. Samthammel sagt:

    @6,awokenMIND: Ich weiß um die Tatsache eines Plattenausbaus… Was sich bei mir nicht aus %userprofile% auf die Truecrypt-Platte verschieben ließ, ist zumindestens per EFS verschlüsselt. Meinen Adminaccounts habe ich dafür den Zweit-Schlüssel entzogen. Ich kann ja nicht immer nen ganzen Roman von meiner Konfiguration dabeischreiben, interessiert auch keinen. :-)
    Onboot-decryption hätte ich auch gerne, allerdings im PC. So habe ich halt halbherzig getrennt zwischen Privatdaten auf einem Truecrypt-Laufwerk und Programmdaten auf der unverschlüsselten Systempartition. Da wäre halt etwas systeminternes gefragt. Windows hatte ja schon versagt als ich meinen kompletten Profilordner verschlüsselte. Ich hatte dafür natürlich den richtigen Key benutzt, aber die ntuser.dat muß wohl schon unverschlüsselt vorliegen, und gerade darin sind sensitive Informationen… Also habe ich es notgedrungen rückgängig gemacht und harre der Dinge. Vielleicht wird Truecrypt ja einmal dementsprechend erweitert. Windows ist da einfach unvollendet umgesetzt, was die Trennung von öffentlichen und persönlichen Daten angeht.

  27. Chris sagt:

    @Usul: Okay, Thema durch. Nehmen wir da mal ruhig ein Beispiel zum Abschluß: Sohnemann am Familien-PC. Der hat im Regelfall mehr Ahnung als Papa, der vielleicht einfach nur auf den Knopf drückt, wenn er etwas auf den (Firmen-) FTP schieben muss. Das hat dann auch nichts mit böser Familie zu tun, sondern mit dem Spiel– und Tatendrang eines neugierigen Kindes. Jeder von uns war in der Kindheit schon mal an Sachen der Eltern dran, die ihn nichts angehen.

    Natürlich ist die (bisherige) Verschlüsselung da für die sogenannten Profis ein Witz — nur in der Realität bedeutet dieses Nichtanzeigen als Klartest halt doch eine große Hürde. Oder nehmen wir all die kleinen Unternehmen da draußen. Da wird morgens der PC, werden die ganz wenigen PC’s von dem, der zuerst im Unternehmen ist, angestellt, abends macht der letzte das Licht aus. Selbst wenn es unterschiedliche Benutzerkonten gibt, sieht es doch mal in der Realität ganz anders aus.

    Lass mich mal aben an den PC…

    Da wird kein Benutzerkonto gewechselt. Wie oft habe ich das schon erlebt? Unzählige Male…

    @Samthammel: Darauf warte ich auch, dass TrueCrypt irgendwann einmal die Verschlüsselung der Boot-Partition beherrscht.

  28. Samthammel sagt:

    Vielleicht tut sich ja gegen Ende des Jahres mit TCBOOT etwas.
    Was ist eigentlich mit der kommerziellen Alternative Bestcrypt? Lohnen die 120 USD?

  29. Chris sagt:

    Keine Ahnung — es gibt aber auch noch DriveCrypt Pro — mit der «normalen» Variante habe ich, bevor ich auf TrueCrypt gesetzt habe, gute Erfahrung gemacht. Die Pro-Variante kenne ich aber genauso wenig wie Bestcrypt.

  30. Oliver sagt:

    Ganz einfaches Beispiel, was hier in den Kommentaren mitunter unverständlich kommuniziert wurde. Die sogenannte Verschlüsselung bei 99% der Software die dies tut bei der Ablage von Passwörtern, abgesehen von Masterkey-Software etc., macht im Prinzip nicht mehr als quasi ein Passwort z.B. Hexadezimal abzulegen. Klar meine Mutter könnte das nicht umwandeln, andererseits wüßte sie auch gar nicht das da überhaupt ein Passwort irgendwo gespeichert wird, geschweige denn würde sie es im Klartext erkennen. Ein Schutz ist das in keinem Fall, es ist allenfalls der auf der größt anzunehmenden «Dummheit» des Users basiert, aber wiederum wäre es wohl auch nicht der, der mal nachschauen würde.

    Anderers Beispiel, wie schnell das geht auch für den Laien der null Ahnung hat. Einschlägige Foren, Anfrage: ich habe mein Passwort verlegt. A: kein Problem, hier Tool xyz klick and go. Oder Frage: ich kann in der Firma nur Port 80 nutzen, A: nimm Tunnel-Software xyz und fertig. Bingo. Derjenige hat zwar null Ahnung, bekommt jedoch entsprechendes Mundfertig serviert.

    Und dann kommen wir wieder auf meine Aussage zurück bezüglich der Fähigkeiten, um einen tatsächlichen Algorithmus zur Verschlüsselung zur implementieren, mit einer einigermaßen konsequent gelösten Abfrage, reichts eben nicht mal eben ein FTP Programm schreiben zu können. Mitunter schreibt derjenige auch ein geiles Grafikprogramm, aber derlei Dinge sind eine ganz andere Kragenweite und mal nicht ebenso zu implementieren. Und mal ehrlich ein «unwissend» umgesetzter Algorithmus taugt in der Praxis ebenso wenig.

    Unter Windows geht man eben auf Nummer sicher, indem man eine gute Key-Verwaltungssoftware nutzt oder wie Kai ganz oben sensible Daten in einem Kontainer ablegt. In der Regel betreibt keiner der Autoren von regulärer Software, die nicht initial der Sicherheit dient, einen derartigen Aufwand.

  31. Chris sagt:

    Ein wunderbares Schußwort. :)

  32. Frank sagt:

    Hab diesen Artikel grade jetzt erst entdeckt (via Twitter) als mir heute aufging, dass Filezilla die Passworte unverschlüsselt speichert. Mittlerweile gibt es mehrere Fälle, wo Webseiten gehackt wurden, weil die Filezilla-Datei ausgelesen wurde. Aus meiner Sicht würde Verschlüsselung hier doch ein wenig helfen…

  33. Auch wenn die Antwort des Administrators arrogant rüberkommt, technisch gesehen, lässt sich das Passwort kaum «sicher» auf dem Computer abspeichern. Um sich in’s FTP einzuloggen, muss man sich beim Zielserver mit dem unverschlüsselten Klartext-Passwort melden — würde FileZilla das Passwort also verschlüsseln, müsste das verschlüsselte Passwort dekodierbar sein. Und wenn FileZilla das Passwort dekodieren kann, kann jeder Cracker genau dasselbe auch tun.

  34. Denny sagt:

    Hallo,

    ich habe leider heute die leichtsinnige Erfahrung gemacht: fast 50 FTP-Zugangsdaten wurden gestohlen. Muss durch ein Virus gewesen sein, den ich zwar auch sofort erkannt und beseitigt habe, aber der Datenklau war schneller.

    Fast alle 50 Internetseiten, die im Servermanager gespeichert wurden, wurden die index-Dateien manipuliert. Das ist auf jeden Fall durch den Klau der Datei sitemanager.xml zurückzuführen.

    Nunja, ich bin aktuell noch dabei, sämtliche FTP-Passwörter zu ändern und als FTP-Programm verwende ich jetzt lieber WinSCP.

  35. völlig hilflos sagt:

    Hallo an alle,
    lese mit Grausen über Filezilla, hatte das gestern erst installiert aber noch nicht ausprobiert. Will Daten auf einen Online Server sichern, der offenbar keine eigene Verschlüsselung hat. Hab zwar einiges auf Dropbox, aber Musik und Bilder sind zu groß für die kostenlosen 2GB. Ist nichts illegales dabei aber ich will natürlich nicht, dass andere die Daten sehen oder sogar löschen können. Vielleicht auch verseuchen und wenn man die dann bei Bedarf wieder runterlädt ist alles im Eimer.
    Kann mir jemand sagen, wie ich Daten sicher übertrage und auf dem Server sicher speichere? (Falls das geht)Und bitte möglichst Klartext, bin bloß ein User kein PC Spezi.
    Danke im Voraus

    P.S. Arbeite mit Windows 7

  36. Markus sagt:

    Na ja, so dramatisch finde ich es jetzt mal nicht. Blöd ist nur, dass es erst bekannt wird, wenn die eigene Website manipuliert wurde. Hat mich einen ganzen Tage gekostet, wieder alles in Stand zu setzen.
    Filezilla ist jetzt im Kiosk Mode, damit werden die PW nicht mehr gespeichert und die PW sind in einem eigenen PW Manager am USB Stick.
    Die Argumentation der Filezilla ist ja an sich schlüssig. Wenn ich die Rechte korrekt habe und nicht als Admin unterwegs bin, kann ja auch kein anderer Nutzer diese Daten lesen. Also dahingehend ist tatsächlich das OS verantwortlich.
    Anzukreiden ist, dass die Programmierer nicht beim ersten Start darauf hinweisen, insbesondere auf den Kiosk Mode


RSS-Feed abonnieren