Re: [Metalab] nanolack ... die zweite,
ach. du. scheisse. das könnt eine overflo aktion gewesen sein. :* -flo
Weil ich privat gefragt wurde ob es wirklich nötig sei die User von ACW zu informieren: Ja, dass er das File geschickt hat sehe ich nicht als das Problem. Das Problem ist, a) dass der Provider die Passwörter im plaintext speichert, b) dass diese Passwörter in einem File das offensichtlich von Menschen gelesen/geändert wird stehen. Darüber muss man die User informieren, sie haben IMO ein Recht das zu erfahren. Generell sollte man solche Sicherheitsprobleme nicht einfach verharmlosen. Ist bisschen inkonsequent wenn ansonsten "der typische Metalaber" gegen VDS ist. Also hat schon jemand den Usern geschrieben? Cheers, Martin 2012/4/23 overflo <flo@tekstix.com>
ach. du. scheisse.
das könnt eine overflo aktion gewesen sein.
:* -flo
______________________________**_________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/**mailman/listinfo/metalab<https://lists.metalab.at/mailman/listinfo/metalab>
Also hat schon jemand den Usern geschrieben?
moritz arbeitet an der behebung des problems. ob die user informiert wurden weiss ich nicht, geht mich auch nichts an. und du hast natürlich recht. absolut. plaintextpasswörter auch nur am server rumkugeln lassen ist.. nicht gut. ich bin sooo froh dass das nicht mir passiert ist. :* -flo
Hi!
ich bin sooo froh dass das nicht mir passiert ist.
Geht mir genauso. Mir reicht ja schon der Schreck voriges Jahr (glücklicherweise noch an Testsystem), daß es reicht, daß ich als Admin am Webserver einlogge und plötzlich alle anderen aktiven Sessions auch... ich sind. Sprich, plötzlich hatten alle anderen aktiven Sessions meine Rechte und meinen Benutzernamen... Aufgefallen ist mir beim Eintippen des Push-Commands zum Server als noch einen eher zufälligen Blick auf die - verdächtig gleichen - zwei Browser-Sessions geworfen hab. Das hätt ziemlich in die Hose gehen können... LG Rene
Hi!
Das Problem ist, a) dass der Provider die Passwörter im plaintext speichert, b) dass diese Passwörter in einem File das offensichtlich von Menschen gelesen/geändert wird stehen.
Und c) daß der interne Arbeitsablauf anscheinend vorsieht, daß Password-File per Email zu verschicken... LG Rene
Teilnehmer (3)
-
Martin Schürrer -
overflo -
rene.schickbauer＠magnapowertrain.com