Beiträge von tab

Naja, irgendein Ausweisdokument wird sich ja im Netz finden lassen.

Zitat von Bud

Kann ja eigentlich kein Spam/KI sein, da er sein Kundenkonto verknüpft haben muss

Vielleicht sind die jetzt auf der nächsten Stufeangekommen. Die KI erstellt einen Kundenaccount bei netcup, bestellt ein Produkt, meldet sich - inklusive 2FA - im CCP an, nutzt dort den Forumslink und erstellt einen Beitrag mit einer m.E. sinnfreien Umfrage. Respekt!

Der ist ja sogar deutlich unterfordert, sowohl von der CPU als auch vom RAM her. Das halbe RAM ist nur mit geparkten Dateidaten gefüllt - wobei man den Einfluss auf die Performance da auch nicht unterschätzen darf.

Na gut, einen Nano hätte ich auch noch im Angebot, die 100.000 Views, die da bei Matomo erwähnt werden, die werden wir wohl nicht so schnell reißen. Das wäre sonst schon recht sensationell, aber das ist dann wieder eine ganz andere Geschichte . Ich habe nur leider kein Gefühl dafür, was das Ding für Matomo wirklich leisten muss. Also von der Leistung der Cores her z.B. Da leistet der RS Cyber Ducky (oder wie er heißt) wahrscheinlich mehr als der VPS mikro, hat aber wohl zu wenig RAM. Und eventuell sind die langsameren Cores für die Anwendung trotzdem geeigneter, einfach weil es 2 oder 4 sind statt nur einem. Andererseits, wer noch nicht mal 100.000 Views reißt pro Monat, muss sich über mehrere gleichzeitige Views noch keine allzu großen Gedanken machen .

Bei mir wären es 2-3 Websites, aber mit derzeit sehr überschaubaren Zugriffszahlen. Aber eine davon soll jetzt kräftig wachsen. Mein alter programmierbarer Taschenrechner aus den 80ern hätte bestimmt kein größeres Problem damit . Naja, leicht übertrieben . Wie kommt es eigentlich, dass man nach jedem Rückbau seiner Serverlandschaft mehr Server hat als vorher? Muss wohl an den kleinen Serverchen liegen, hoffe ich jedenfalls.

Hat jemand Erfahrung mit Matomo in einem Webhosting? Oder stehen die Chancen mit einem VPS mikro besser? Hehe, bei der zu erwartenden Zahl von Aufrufen vielleicht beide, das Webhosting als Datenbankserver und der mikro mit Matomo. Oder umgekehrt?

Server hat man immer zu wenig, auch wenn man zu viele hat. Weil leider hat man immer gerade die Server untätig rumliegen, die für die Aufgabe nicht passen. Oder jedenfalls nicht zu passen scheinen.

Bei mir mit FF auch, gerade eben einen Server gestoppt, der so nicht laufen sollte.

Vorsicht mit /httpdocs, per Default hat die Systemdomain dieses Verzeichnis als document root. Wenn also jemand die Systemdomain kennt, hat er darüber Zugriff per Webserver auf die Dateien darin und auch in den Unterordnern. Die Systemdomain muss aber aktiv bleiben, sonst funktionieren die Cronjobs nicht. Abhilfe kann man z.B. schaffen, indem man ein anderes Verzeichnis auf der selben Ebene wie httpdocs erstellt und dieses dann der Systemdomain als document root zuordnet. Solange da nichts oder nichts wichtiges drinsteht, kann dann jeder gerne zugreifen.

Zitat von eripek

Soviel zur Sinnhaftigkeit und Security by Obscurity, wenn der 2FA und das Login vom selben Gerät stammen. Aber erklär da u.a. einer Bank, die Dir ihre Super-Datensammelapp als Sicherheitsgewinn verkaufen möchte.

Das ist schon ein Sicherheitsgewinn. Vielleicht nicht unbedingt für den Kunden, aber zumindest für die Bank, die damit den Vorschriften Genüge getan hat und im Schadensfall fein raus ist.

Zitat von Paul

Primär geht es darum, dass der 2. Faktor ein zeitlich begrenztes Passwort ist (30 Sekunden). Ein potentieller Angreifer hat also im Grunde nur 30 Sekunden Zeit dieses zu erraten. Danach ist es ungültig und ein neues Passwort muss erraten werden. Im Gegensatz dazu ist der 1. Faktor weitestgehend statisch. Das reguläre Passwort wechselt man nicht alle paar Sekunden. Vielleicht in Ausnahme mal alle paar Monate oder Jahre, aber im Gegensatz zu dem 30 Sekunden dauernden 2. Faktor ist das praktisch statisch. Daher ist TOTP Nicht einfach nur ein längeres 1. Passwort, sondern bringt noch eine Zeitkomponente mit rein.

Das heißt aber nur, dass der Angreifer nie völlig sicher sein kann, dass er den zweiten Faktor irgendwann knackt. Wenn er den ersten Faktor geknackt hat und dieser statisch ist, müsste er nur noch den zweiten Faktor knacken, was aber nach meiner Einschätzung nur eine Frage der Zeit (im wahrsten Sinn des Wortes) und der Anzahl der Versuche ist. Je nachdem, wie der Algorithmus funktioniert, lässt man den zweiten Faktor immer gleich und diese Ziffern sind dann zu irgendeiner Zeit auch korrekt. Oder man probiert immer verschiedene Codes, hier hat man (immerhin!) eine statistische Wahrscheinlichkeit von 1:1.000.000 bei jedem Versuch

Es kommt also m.E. für die Sicherheit entscheidend darauf an, dass bei geknacktem ersten Faktor und nachfolgend falschem (oder zumindest nach mehreren falschen) zweiten Faktor(en) der Angreifer zeitnah an weiteren Versuchen gehindert wird. Also entweder der Zugang sofort komplett gesperrt wird oder der rechtmäßige Benutzer sofort über den geknackten ersten Faktor informiert wird und dann nach mehr als Zeit x ohne Änderung des geknackten Faktors der Zugang komplett gespert wird. Lässt man den Angreifer einfach bis zum St. Nimmerleinstag gewähren, ist jegliche zusätzliche Sicherheit dahin.

Ich versuche gerade, den (echten) Sicherheitsvorteil der 2FA mit TOTP zu verstehen, vielleicht kann es ja jemand einem alten Mann mal erklären...

Klar ist mir schon, dass in der Theorie beide Seiten, also sowohl die Server als auch die Clientseite, über den vereinbarten geheimen Schlüssel verfügen müssen. Damit erzeugt der Client aus der aktuellen Uhrzeit ein 6 oder 8 stelliges Passwort mit einem hoffentlich sicheren Verfahren. Dieses Passwort wird dann zur zusätzlichen Authentifizierung verwendet.

Das klingt erst mal gut, aber ohne weitere Sicherheitsmechanismen sind das auch nur 6 oder 8 zusätzliche Stellen, die man zusätzlich zum ersten Faktor (das Passwort) knacken muss. Also lautet die Frage: Wo liegt die zusätzliche Sicherheit gegenüber einem entsprechend längeren Passwort? Da fällt mir derzeit nur ein

• Der Server nutzt die Zusatzinfo, wo der Fehler liegt, also im ersten oder im zweiten Faktor, um z.B. die IP zu blockieren oder den brute force Angriff zumindest effektiver zu bremsen. Blockieren oder bremsen kann er ja aber auch bei einer normalen Passwortauthentifizierung.
• Der Server verschickt bei einem geknackten Faktor eine Warnmeldung an den rechtmäßigen Benutzer, damit der den geknackten Faktor (Passwort oder geheimer Schlüssel) noch rechtzeitig ändern kann, bevor auch der zweite Faktor geknackt wird und der Angreifer erfolgreich angemeldet wird.

Ansonsten würden die zusätzlichen Ziffern m.E. keinen Sicherheitsgewinn im Vergleich zum Passwort mit 6 zusätzlichen Ziffern bringen. Zumndest dann, wenn man das Passwort häufig genug wechselt. Eher wäre das Gegenteil der Fall... Oder wo liegt hier der Denkfehler?

Hmm, also bei PostgreSQL habe ich meine Zweifel mit einem Webhosting 8000.

Also ich würde es per SSH mit composer installieren, wie es unter deinem Link ja auch beschrieben ist. Nag sein, dass man einige Befehle leicht abändern muss, aber funktionieren sollte es allemal.

Zitat von KB19

Extensible Provisioning Protocol?

Ohne Google hätte ich das jetzt aber auch nicht gewusst

Ah so! Und ich hatte mich schon gewundert, was die Energiepreispauschale mit den Domains zu tun hat.

Wahrscheinlich wurde seine IPv4 von netcup aufgekauft, die kleinen Server und die ARM-Server brauchen auch alle eine IPv4 .

Zitat von aRaphael

WTF Ich habe zuhause plötzlich keine ipv4 mehr

Gerade eben machte der Rechner Zicken und die Internetverbindung war kurz weg und nun ist sie wieder da.

Aber nur noch mit ipv6 komme ich raus. Online-Tools sagen mir "ipv4: not detected".

Was das?

Werde wohl mal den Router neu starten...

Und danach hast du auch keine IPv6 mehr .

Wieso erstellst du da eigene Keys und wie machst du die bei deSEC bekannt? Soweit ich weiss, sind die von deSEC angegebenen Schlüssel und Algorithmen zu benutzen, wie von mir schon in Beitrag #2 dieses Threads beschrieben

Edit: Zu langsam..

ARM Server und Keyhelp macht derzeit noch Probleme mit den zusätzlichen PHP-Versionen, die nicht für ARM kompiliert zur Verfügung stehen. Das kann man sicher auch selbst tun und auch aktuell halten, ansonsten ist man eben auf die Benutzung der PHP-Version des OS beschränkt. Für Intel und AMD werden die zusätzlichen Versionen fertig mitgeliefert und können einfach im Panel aktiviert werden. Ich hoffe ja noch, dass durch die immer breiter werdende Verfügbarkeit von ARM-Servern der Service irgendwann auf ARM ausgedehnt wird. Wahrscheinlich spätestens dann, wenn K3yw3b selbst solche Server anbietet. Aber bis dahin sollte man das für die Entscheidung zumindest mal im Hinterkopf behalten.

So ähnlich bzw noch einen Tacken schwächer sah das GB6 Ergebnis bei mir auch aus. Der RS Cyber Quack toppt das sowohl Single als auch Multicore problemlos, ebenso der Strota VC1-1.

Ah,der YABS ist durch, ich poste mal nur den GB6 Teil

Geekbench 6 Benchmark Test:
---------------------------------
Test            | Value
                |
Single Core     | 375
Multi Core      | 835
Full Test       | https://browser.geekbench.com/v6/cpu/4038145