Bruteforce-Attacken auf phpbb3-Foren!

[P7BB]

Hallo,

http://www.phpbb.de/community/viewtopic ... 9&t=201849
Bitte lesen!

Ich würde jedem im Forum empfehlen, das Kennwort zu ändern und auch sinnlose Buchstabenkombinationen zu benutzen, da bei diesen Angriffen immer nur "beliebte Kennwörter" benutzt werden, aber nicht alle Zeichen-Kombinationen.
"S3cr3t" (secret) würde aber auch beispielsweise problemlos geknackt werden können!

Wie kann man das Kennwort sichern?
Am besten fügt ihr einfach Sonderzeichen in euer Kennwort hinzu. Dadurch ergibt das ganze aus der Sicht eines Computers kein "Wort" (Brute-Force-Programme erkennen Zeichenfolgen als Wort, wenn sie in einem Wörterbuch stehen) mehr, sondern einfach sinnlos. Genau diese Kennwörter werden nicht durchprobiert. Beispiel:
Kennwort: secret
Geändert: !s!e!c!r!e!t!
Oder nochmal anders: !s?e!c?r!e?t!
Merken kann man es sich trotzdem leicht, aber es ist viel sicherer.

Wie merkt man als Forenbetreiber, ob man betroffen ist?
Man kann die folgende Modifkation installieren: http://startrekguide.com/community/view ... 127&t=7059
Dadurch hat man ein Benutzeranmelde-Protokol zur Verfügung. sollten dort viele Login-Versuche von einem Benutzernamen oder von einer IP erscheinen, handelt es sich vermutlich um einen Brute-Force-Angriff. Sollten dort aber viele Registrierungesversuche geben, handelt es sich "nur" um Spambots.

Was kann man als Forenbetreiber tun?
Man sollte am besten die inaktiven Benutzer löschen, da diese ggf. nichts von den aktuellen Ereignissen mitbekommen und unsichere Passwörter benutzen. Letztendlich würden sie somit ggf. dem Forum schaden, obwohl sie nichtmals aktiv sind.
Zudem kann man Vorraussetzen, dass die User das Kennwort ändern müssen (Müsste - soweit ich weiß - mit Boardmitteln möglich sein, dass die User aufgefordert werden, das Kennwort zu ändern).


So, ich hoffe, sowohl Schakal, als auch die Moderatoren, als auch die normalen User nehmen Kentniss von diesem Beitrag und werden meine Tipps befolgen

[TommyVorlostRiddle]

Hallo,

wir als Seitenbetreiber versuchen natürlich, ein gewisses Maß an Sicherheit zu garantieren. Leider ist das niemals zu einhundert Prozent möglich. Solche Angriffe sind wohl bekannt und vor allem bei weit verbreiteten Foren-Systemen sehr beliebt. Ich möchte hier jedoch aufgrund des Beitrags und der daraus resultierenden Frage, "ob meine Daten bei uns sicher sind" nochmals betonen, dass wir alles dafür tun, um den Schutz Eurer Daten zu gewährleisten und die Community am Leben zu erhalten. Die hier verwendete Foren-Software ist weit verbreitet und für jeden zugänglich, sodass natürlich auch die Ausnutzung gefundener Fehler in den Skripten theoretisch ganz einfach ist.

Wir haben alle von der Foren-Software zur verfügung gestellten Sicherheitsmeachnismen aktiviert und trotzdem für die Benutzer so angenehm wie möglich gestaltet. Mehr als die Nutzer zu "zwingen" ein ausreichend sicheres Passwort zu benutzen, können wir im Forum nicht tun. Zur Sicherheit aber sei gesagt: Alle Auffälligkeiten (egal in welchen Bereichen) werden festgehalten und aufs genaueste überprüft. Außerdem werden regelmäßig Backups aller Daten erstellt und auf die neueste Software aktualisiert. Bei der Programmierung wird grundsätzlich darauf geachtet, bekannten Sicherheitlücken direkt aus dem Weg zu gehen und veraltete Funktionen nicht mehr zu benutzen. Für einen hundertprozentigen Schutz kann nie garantiert werden. Wir versuchen aber, Angriffe der Seite abzuwehren und zu erschweren. Also, habt keine Angst bei uns .

[P7BB]

wir als Seitenbetreiber versuchen natürlich, ein gewisses Maß an Sicherheit zu garantieren. Leider ist das niemals zu einhundert Prozent möglich. Solche Angriffe sind wohl bekannt und vor allem bei weit verbreiteten Foren-Systemen sehr beliebt. Ich möchte hier jedoch aufgrund des Beitrags und der daraus resultierenden Frage, "ob meine Daten bei uns sicher sind" nochmals betonen, dass wir alles dafür tun, um den Schutz Eurer Daten zu gewährleisten und die Community am Leben zu erhalten. Die hier verwendete Foren-Software ist weit verbreitet und für jeden zugänglich, sodass natürlich auch die Ausnutzung gefundener Fehler in den Skripten theoretisch ganz einfach ist..

Ich möchte noch hinzufügen, dass durch einen gehackten Benutzeraccount keine Kennwörter von euch ausgelesen werden könnten. Nur eben von den Betroffenen ist das Kennwort dann geknackt. Nichtmals ein Administratoren-Account, der geknackt wurde, würde Zugriff auf euer Kennwort ermöglichen, sondern maximal auf eure Email-Adresse. Aber ich gehe davon aus, dass Schakal ein sicheres Kennwort benutzt