Beiträge von engine

  • Fragen zur Passwortsicherheit

    Zitat von LebakaasSemme

    Ich nutze den MS Authenticator für einige wenige 2FA-Codes wie z.B. Bitwarden.

    Der Rest der TOTPs ist dank Premium feature direkt im Bitwarden gespeichert.

    Es ist unglaublich praktisch, beim Login ins Beispielsweise Netcup-Kundenportal das Passwort ausfüllen zu lassen und den 2FA Token direkt in der Zwischenablage zu haben und nur noch einfügen zu müssen.

    Das wollte ich auch machen, aber irgendwie sträubt sich in mir was dagegen. Nämlich dies: Wird mein Bitwarden gehackt, dann hat der Angreifer wirklich gleich Zugriff auf alles. Habe ich die 2FA Codes woanders, dann hilft ihm das Passwort bei den wichtigen Accounts wenig, da er nicht die 2FA Codes aus der anderen App hat.

  • Fragen zur Passwortsicherheit

    Zitat von axstet

    Ich halte #2 für relativ unsicher. Bei der Diceware Methode erstellt man zwar auch Passphrasen aus regulären Wörtern, wichtig ist jedoch, dass diese in keinem Zusammenhang stehen. Nach etwas Social Engineering hat dein Passwort quasi nur noch 4 Zeichen.

    Möglich, aber da kommt eben der "Social Engineering" Faktor hinzu und da ist dann wieder die Frage, wer ist Bud und interessiert sich jemand für seinen Bitwarden Account. Gehen wir mal tiefer.

    Szenario 1:

    "Hacker X" findet https://bitwarden.bud.de im Internet und versucht es zu hacken. Eventuell gelingt es ihm durch eine Sicherheitslücke, dann ist das Passwort irrelevant. Ansonsten versucht er Bruteforcing/whatever Methoden. Vermutlich in beiden Fällen wenig vielversprechend, weil zu zeitaufwändig, ausser er ist ein "relevantes" Target. Gehen wir davon aus, er ist relevant. Hacker versucht die IP herauszufinden, Bud hat die Bitwarden-Instanz nicht hinter einem Proxy (wie bspw. Cloudflare) oder hat auf dem selben Server einen Mailserver laufen. Hacker findet die IP, weiss nun das die Website bei Netcup gehosted ist. Er nimmt netcup in seine Wordlist auf. Gleichzeitig nimmt er bitwarden und bud in die Wordlist auch noch mit auf, weil das aus dem Domainnamen hervorgeht. Dann fügt er auch noch Server, Webhosting in die Wordlist hinzu und alle Jahreszahlen, zudem sucht er nach Bud und netcup bei Google, stösst hier im Forum auf sein Profil und fängt sich mit ihm anzufreunden. Wird es möglicher Passwort #2 mit viel Energie zu knacken? VIELLEICHT! Hat er 2FA aktiviert? Eher weniger, ausser Sicherheitslücke in Bitwarden. Aber der Aufwand ist hier schon sehr hoch.

    Szenario 2:

    "Hacker X" stösst auf Buds bitwarden, gehostet unter safe.xyzcom.de. Nichts unter dieser Domain deutet auf einen "Bud" hin, die Website hängt hinter Cloudflare, es läuft kein Mailserver, Firewalls gut abgedichted, PTR ist nicht gesetzt, Hacker findet eher schlecht überhaupt den Provider raus, wo die Website gehosted ist. Das heisst er kennt weder das Wort "Bud", noch "netcup". Es sei denn es ist per Zufall in seiner Wordlist. Aber er braucht ja auch noch den Loginnamen. Also man sieht hier schon, da sind die Anlaufschwierigkeiten schon deutlich höher, als in Szenario 1 um überhaupt an Infos zu kommen.

    In beiden Szenarien ist man natürlich im Arsch, wenn Bitwarden eine Lücke hat und es nicht gepatcht ist.

    EDIT: Wenn jemand Anmerkungen zu diesen Ideen hat, immer her damit! :)

  • Fragen zur Passwortsicherheit

    Zitat von Bud

    Aber ich dachte immer das bei Passwörtern gerade das "random" einen großen Stellenwert hat. Das bei nem möglichen Brutforce etc. ganze Wörter wie in #2 bevorzugt probiert werden?

    Die Bruteforcetools können zwar mit Wordlists arbeiten, aber nur weil in der Wordlist netcup vorkommt, heisst das ja in Beispiel2 nicht, dass es leichter knackbar ist, da er ja auch noch die Sonderzeichen und Zahlen in richtiger Reihenfolge dann probieren muss etc, was die Schwierigkeit merklich erhöht.

  • Das längste Thema

    Also ohne Firewall, die direkt am Switch filtert, würde ich persönlich schon gar keinen Windows-Server im Internet betreiben. Ich hätte das sogar noch zusätzlich gerne für meinen netcup VPS, der nur mit iptables filtert. Einfach als zusätzlichen Layer.

  • Das längste Thema

    Zitat von aRaphael

    Keine Ahnung. Hatte ich noch keine.

    Bei tailscale kann ich nämlich weder die Ausgangsip noch das Interface wählen, weshalb ich immer die normale hab - dachte ich könnte das irgendwie regeln. ip route default changen hats leider für tailscale nicht gebracht.

  • Das längste Thema

    Mal eine Frage zu Failover IPs - betrifft IPv4, als auch IPv6. Kann man NUR die Failover IPs auf dem Server einrichten, oder benötigt der Server auch die Haupt-IP, weil sie darauf geroutet ist?

  • Server Ordering Issues

    You are responsible for everything, what happens on your servers. It looks like your server was abused/hacked, that's why it was shut down. So you have to contact netcup through e-mail and wait. And after that you have to wipe all of your servers, so they wont get abused again. But maybe you did something shady and got terminated because of it? We are not netcup, this is just a client-community, there is no official support here!

  • E-Mails gehen raus, aber nicht rein

    Zitat von skyslycer

    rDNS habe ich nun im SCP geändert. Ja, TTL habe ich auf "Auto", habs mit TLS verwechselt (lol). Ich setze die die TTL mal auf 2min vom MX Record. Wie lang soll ich es dabei belassen?

    Habe UFW mal disabled, System rebootet gerade.

    Der MX Record pointed aber auch einfach auf die gleiche Domain, da der Mail-Server darauf läuft. Also user@domain.com -> Mailserver domain.com, nicht mail.domain.com oder sowas.

    Und das ist auch so im Mailserver konfiguriert? Weil normalerweise is das eher nicht common practice…