Beiträge von Steini

Zitat von cindy

Hat vielleicht einer von euch eine Best Practice Lösung für mein Backup Problem?

Ich benutze Borgbackup und bin damit ganz zufrieden. Das ist für Windows aber bisher nur experimentell vorhanden.

In der C't 24/2019 war ein Artikel, in dem sie über Duplicati 2.0 (https://www.duplicati.com/) geschwärmt haben. Das gibt es für Windows/Linux/Mac und wird über ein Webinterface eingestellt. Ich wollte das demnächst mal selbst testen, bin aber noch nicht dazu gekommen. Wie man damit unter Windows Datenbanken sichert weiß ich nicht, hat aber sicher schonmal jemand gemacht

Zitat von cindy

Die nächste Frage wäre, wo legt man das ganze dann ab. Ich habe mir gedacht, entweder bei Dropbox bzw. einem der vielen Anbieter entsprechend Speicherplatz zu mieten. Gibt es hier eine bessere Lösung?

Wenn das Backup ordentlich verschlüsselt ist es "eigentlich" egal. Dann spielen Dinge wie Speicherplatz, Anbindung, Zuverlässigkeit, Kosten, etc eine Rolle. Ich weiß mein Backup gerne in den eigenen 4 Wänden und sichere auf meine NAS. Es gibt aber auch ein "Außerhausbackup" in der Cloud. Hier aber nur die wichtigsten Dokumente, weil ich geizig mit dem Speicherplatz war.

Zitat von H6G

Doof nur, dass die Hexalzahlen heißen, und nicht Hex-Zahlen.

Genauso wenig wie in der Umgangssprache Hex-Zahlen das Senäre System bezeichnen.

Wieso stellt sich mir hier die Frage nach "the fouriest number"?

20130201.gif

http://www.smbc-comics.com/index.php?db=comics&id=2874#comic

Ich hoffe mal, dass die ganzen Sonderangebote gerade (alle mit 12 Monaten Laufzeit) ein Zeichen dafür sind, dass im neuen Jahr (nach Ablauf der Zufriedenheitsgarantie) die Gen9 kommt. Die verbleibenden Gen8 Einheiten wollen ja auch erst noch an den Kunden gebracht werden.

An sich erwarte ich aber auch nicht zu viel. Bin ja eigentlich ein zufriedener Kunde . Man kann dann eher auf mehr Leistung fürs gleiche Geld oder gleiche Leistung für weniger Geld hoffen (Erfahrungsgemäß werde ich deutlich mehr Leistung für ein bisschen mehr Geld bekommen Zumindest ging meine Rechnung in den letzten Jahren immer nach oben ).

Ein "Killerfeature" vermisse ich nicht (aber das merkt man oft ja erst hinterher, dass man XY gerne schon vor 10 Jahren gehabt hätte).

Obtane fände ich mal interessant zum ausprobieren. Ich denke, wenn Netcup das anbietet würde es sich auch lohnen. Getestet wird das ja schon seit mindestens einem Jahr.

Zitat von timkoop

Langsam nervt es. Die Nacht kam noch eine Mail vom gleichen postmaster an die gleiche Adresse. Jetzt gerade kam erneut so eine Mail, dieses Mal von einem anderen postmaster (aber wieder edu-TLD) und an eine andere Domain von mir

Habe sowas auch bekommen von postmaster@airsar.asf.alaska.edu. Die haben halt ihr Mailsystem nicht im Griff und sollten halt mal DKIM einführen Zumindest kam kein scam mit

Sorry, ich habe verpeilt, dass bei dir ja jetzt alles läuft und du nur deinen Lösungsweg teilen wolltest. (Danke dafür!)

Zitat von chrisiwien

Hm, ich habe an der "Von-Haus-Aus-Konfiguration" von netcup bislang wenig gegeändert,

Das heißt, du hast noch das völlig veraltete Debain8 mit PHP5? Bevor du dich allzu tief einarbeitest und Lösungen für alte Probleme suchst, würde ich zu einem Upgrade raten (Wenn noch nicht viel läuft ist eine Neuinstallation die bessere Wahl)

Ich hatte das/(ein ähnliches?) Problem mal mit meinem Apache. Ursprünglich hat er auf "*" gelauscht, aber irgendwann bin ich umgestiegen und habe immer die feste IP direkt angegeben. Wieso ich das gemacht habe weiß ich nicht mehr (war halt schon immer so .. oO. Und da man nicht "mischen" kann, bleibts halt so). War auch nie ein Problem, bis ich eine Anwendung hatte, die das loopback interface gebraucht hat. Durch eine misratene Fehlermeldung habe ich ewig gebraucht um zu realisieren, dass der Apache nicht (mehr) auf loopback lauscht. Einfach alles explizit angeben (oder alle interfaces nehmen)

Listen xx.xx.xx.xx:80
Listen 127.0.0.1:80

Kann sowas bei dir sein?

Ansonsten scheint selinux bei manchen Konfigrationen dazwischen zu funken

Zitat von customer

Ich sehe es gegenteilig.
Der root user ist der zusätzliche Angriffsvektor. Über den login. Ebenso über su...

sudo verwendet auch nur pam und wenn da eine Lücke ist, dann ist sowieso schon alles egal.

Ich weiß, ich sollte auf den Thread nicht mehr antworten. Ich werde mich bessern, versprochen ...

Ich will nur noch einen Link dalassen um zu zeigen, dass es in sudo auch durchaus Lücken geben kann (und gab!), die nicht durch pam kommen. Natürlich sind die mittlerweile geschlossen, aber wer weiß was morgen kommt? Jede zusätzliche Software hat potentiell zusätzliche Sicherheitslücken. Und sudo verwendet nicht "nur" pam, sondern ist relativ komplex:

https://www.sudo.ws/sudo/alerts/
Ganz klar kann der Einsatz von sudo Sinn machen (je nach Anwendungsfall), aber wer es nicht benutzt ist auch nicht per se ein Sicherheitsrisiko. Hier wird so getan, als wäre es unverantwortlich, sudo nicht zu benutzen und das ist einfach Murks. Best Practice ist heutzutage die 2FA (und morgen mittels FIDO2)!

Zitat von whoami0501

... hauptsache Intel baut nicht so nen Mist.

Intel übt zwar noch, ist aber nah dran : https://www.thomas-krenn.com/de/wiki/Intel_…Update_XCV10110

Zitat von 03simon10

[Nein, dem Titel des Artikels stimme ich nicht zu.]

Naja, Comic Sans ist schlecht. Der Ruf ist miserabel. In sofern stimmt das schon, dass es besser als der Ruf ist

Zitat von mawi

ich habe nun seit einiger Zeit das Webshosting 4000. Bei dem Preis-Leistungs-Verhältniss gibt es eigentlich garnichts zu meckern aber leider ist die Performance teilweise echt mies

Wenn der Preis gut ist und die Leistung "teilweise echt mies", dann ist das Preis-Leistungs-Verhältnis doch nicht mehr gut?

Back to topic:

Es gibt eine schöne Zusammenfassung bei der Konkurrenz, die du bei Google findest bei der Suche nach: "Joomla-Debugging von Performance-Problemen"

Wenn der Server schnell antwortet (time to first byte TTFB) und dann der Seitenaufbau langsam ist, liegt es an den Dingen, die beim Seitenaufbau noch geladen werden müssen. Dafür gibt es tools im Engpässe zu benennen.

Quasistandard (aber halt google): https://developers.google.com/speed/pagespeed/insights/?hl=de

Aber auch: https://www.webpagetest.org/ https://gtmetrix.com/

Das sollte zumindest nicht so sein. Da musst du dich aber an den Support wenden. Oder zumindest einen Netcup Mitarbeiter verlinken. Der Support wäre aber vermutlich der schnellere Weg. [netcup] Johannes B.

Zitat von mfnalex

Schonmal was von User-Passwörtern gehört?

Habe ich. Ist am Ende aber auch wieder nur ein weiteres Passwort, dass entweder kurz ist oder umständlich. Und von der Sicherheit her schwächer als ein Einmalpasswort bei 2FA (oder zweifelst du das etwa auch an?). Insbesondere, weil die 2FA dafür sorgt, dass der Angreifer erst garnicht auf den Server kommt und das Userpasswort nur, dass der Nutzer nicht gleich root ist (in den seltensten Fällen aber verhindert, dass ausführbarer code nachgeladen wird, etc...)

Finde ich ja toll: Es gibt deutlich sicherere moderne Methoden, aber es wird vehement also non-plus ultra verteidigt, was zwar vor 10 Jahren top war aber jetzt nur noch gut.

Zitat von H6G

Wenn ich dafür sorge, dass kein Dritter diesen Root Zugang benutzt kann ich der SSH Verbindung immer vertrauen.

Und ich dachte, wenn ein Dritter den root Zugang benutzt wäre die SSH Verbindung das kleinste Problem. Dummes ich ...

Zitat von H6G

sudo ist ein zusätzlicher Verteidigungsvektor, mit dem ich die Kommandos und Argumente von Programmen die unter UID 0 ausgeführt werden können, für einen definierten User präzise einschränken kann.

Irgendwann wirst du deinen Server auch mal verwalten müssen und dafür root brauchen. Die gewonnene Sicherheit durch deinen zusätzlichen Verteidigungsvektor rechtfertigt (für mich) in keiner Weise den zusätzlichen Aufwand und Komfortverlust. Zweifaktorauthentifizierung hilft deutlich mehr und schränkt weniger ein.

Zitat von H6G

Für deinen Fall: mir klaut jemand den private Key, dann kann er mit meinem Account noch nix anfangen, weil er die falsche UID hat.

Weil der Angreifer, der in der Lage ist deinen Key zu klauen noch nie was von sudo gehört hat und damit nicht umgehen kann?

Hast du 2FA, kann er auch mit deinem Key nichts anfangen.

Offensichtlich gibt es dafür nur "religiöse" Argumente und da lässt sich nicht gegen Argumentieren. Würde mich aber dennoch mal für eine Geschichte interessieren, wo jemandem der Key gestohlen wurde und der Server dann nicht übernommen wurde, weil es nur ein normaler user war (der per sudo dennoch alles machen kann).

Edit: Zugegebenermaßen ist 2FA mit Hardwaretokens für SSH momentan noch nicht so einfach umzusetzen wie das wünschenswert wäre. Aber passend dazu: https://marc.info/?l=openssh-unix-dev&m=157259802529972&w=2

Mit Google-Authentifikator (wenn man dem denn vertraut) gehts recht fix: https://hackertarget.com/ssh-two-factor…-authenticator/

Zitat von customer

Best Practice ist klarerweise kein Root-Login, kein Passwort-Login, Login nur über 3000+ bit RSA oder besser noch Ed25519 pubkey.

Ist das so? "klarerweise"??

Kommt immer auf den Anwendungsfall an! Ich sehe sudo also zusätzliche Software und damit zusätzlichen Angriffsvektor der (mir) keinen Sicherheitsgewinn bringt. Außer: "Der Angreifer müsste sonst noch den Nutzernamen erraten." Aber mal ehrlich, wer eine pubkey Verbindung knacken kann lässt sich von einem Nutzernamen nicht aufhalten (wird ja auch mit übertragen).

Es gibt tatsächlich valide Argumente gegen root Zugriff, zum Beispiel wenn(!) mehrere Personen Adminzugriff haben.

Zitat von https://infosec.mozilla.org/guidelines/openssh

# Root login is not allowed for auditing reasons. This is because it's difficult to track which process belongs to which root user:

# On Linux, user sessions are tracking using a kernel-side session id, however, this session id is not recorded by OpenSSH.
# Additionally, only tools such as systemd and auditd record the process session id.
# On other OSes, the user session id is not necessarily recorded at all kernel-side.
# Using regular users in combination with /bin/su or /usr/bin/sudo ensure a clear audit track.

Das ist bei mir aber nicht der Fall. Ich halte es für problematisch sowas pauschal zu sagen ohne den Nutzen zu erläutern. So denken viele User/Freizeitadmins "Hey, ich habe den Port geändert, nutze (irgendwelche) Keys und habe den Rootzugang deaktiviert, ich bin ultimativ safe".

Es gibt aber tatsächlich viel wichtigere Dinge um die man sich kümmern müsste, einen root account zu haben ist nunmal _kein_ Sicherheitsrisiko! Wer die Sicherheit erhöhen will soll halt Mehrfaktorauthentifizierung implementieren (wieso wird das nie genannt?), per VPN verbinden und nur bestimmte IPs zulassen (generell wer Zugriff auf feste IPs hat, die halt eintragen), etc...

Ganz wichtig aber, auf sichere Verschlüsselung setzen. die Standardeinstellungen der meisten Distributionen sind nicht gut genug:

Best practices:

https://infosec.mozilla.org/guidelines/openssh

https://stribika.github.io/2015/01/04/sec…cure-shell.html

Zitat von Joba

Wie kann ich mich innerhalb des Ordners xy nur von Angular routen lassen.

Als erste Rule bei der Wordpress .htaccess einfügen:

RewriteRule ^(xy|.well-known)($|/) - [L]

Ignoriert die Ordner ".well-known" und "xy" von der Umschreibung. Entsprechend anpassen.

Du willst aber eigentlich etwas ganz anderes beantwortet haben. htaccess funktioniert hierarchisch. Das bedeutet, dass eine .htaccess im Unterordner die drübere Überschreibt. Das bedeutet, du kannst einfach wie du es gemacht hast eine neue Regel im Unterordner machen. Du muss sie nur "richtig" machen.

Vielleicht willst du

RewriteBase /xy/

benutzen in deinem subfolder? RewriteBase ist aber nur für relative Pfadangaben, du willst vermutlich sowieso absolute verwenden (?)

Anleitung: https://httpd.apache.org/docs/current/mod/mod_rewrite.html

Beispiel:

RewriteEngine on
RewriteCond %{REQUEST_FILENAME} -s [OR]
RewriteCond %{REQUEST_FILENAME} -l [OR]
RewriteCond %{REQUEST_FILENAME} -d
RewriteRule ^.*$ - [NC,L]

RewriteRule ^(.*) /xy/index.html [NC,L]

Zitat von eripek

BTW/OT: S/MIME - Personal Free Use Zertifikate sind offenbar am Aussterben.

cacert hat doch erst beschlossen weiterzumachen (trotz letsencrypt). Erst wenn das Projekt auch beerdigt wird bleibt nur noch PGP und Geschäftsmails ..

Zitat von mainziman

_spf TXT "v=spf1 ip4:IPV4ADDR ip6:IPV6ADDR -all"

Ich habe einfach überall bei SPF "mx" drin stehen, statt die IPs explizit anzugeben. Eine Fehlerquelle weniger, wenn doch mal die IP vom Mailserver geändert wird. Da braucht man dann auch nix mit redirect einträgen. Zumindest, wenn ich das richtig verstanden habe

v=spf1 mx -all

Edit: Geht natürlich nur, wenn der Posteingangsserver auch der Postausgangsserver ist. Aber das ist zumindest bei mir so

Zitat von GentledomIT

Das führt dann zu einem 500er Fehler und es geht gar nix mehr. Laut error log ist das Problem wohl...

Scheint als wärst du an die Grenzen des Webhostingtarifs gestoßen

Andererseits scheint die Fehlermeldung nichts mit dem Server zu tun zu haben, sondern die Clients (oder bots?) beenden die Verbindung, bevor der Server antworten konnte. Zumindest behauptet das https://stackoverflow.com/a/48468294, bzw. ausführlicher hier:

https://www.tablix.org/~avian/blog/ar…brigade_failed/

Edit: In einem Beitrag drunter auf Stackoverflow sind auch noch Optionen, die man ausprobieren kann. Ich glaube aber nicht, dass das bei einem Webhostingtarif geht.

https://de.wordpress.org/plugins/http-security/

CSP (Content-Security-Policy) nutzen! Wird komischerweise selten genannt, ist aber meiner Meinung nach eines der wichtigsten Dinge.

Testen z.B. hier: https://observatory.mozilla.org/

Zitat von AlessioX20

Habe deswegen jetzt alle möglichen Tutorials zum Thema Sicherheit gelesen, und gängige Sachen wie SSH Keys, root login deaktivieren, fail2ban, automatische Sicherheitsupdates und Firewall hab ich schon konfiguriert.

Benutze für SSH mal einen nicht-standardport, dann sollten die Verbinungsanfragen deutlich runter gehen.

Um auf deine ursprüngliche Frage zurück zu kommen:

Zitat von AlessioX20

Jetzt möchte ich aber nginx installieren und das auf Port 80 nutzen, und nextcloud dann halt auf irgendeinem anderen Port.

So, dass beides parallel funktioniert.

Apache2 ist ein Webserver, genauso wie nginx. Nextcloud ist eine PHP basierte Website die sowohl mit apache als auch nginx benutzt werden kann. Wenn du keine Ahnung hast, wieso willst du dann nginx einsetzen? Vermutlich läuft momentan Apache auf Port 80. Du müsstest das also beenden und stattdessen nginx installieren. Ich bezweifel aber, dass du das tatsächlich willst. Vermutlich willst du deine Zufriedenheitsgarantie in Anspruch nehmen, Zuhause eine VM aufsetzen und das da ausprobieren.