Beiträge von NaN

Ich finde es irritierend, wie viele Zitate und Links hier kommen, die genau das belegen, was ich geschrieben habe, und dann so getan wird, als würden sie mich widerlegen.

Zur Störerhaftung schreibe ich nur kurz, dass in dem Artikel steht, dass ein Störer auf "Beseitigung und Unterlassung" der Störung haftet und nicht etwa straf- oder zivilrechtlich für die Taten eines anderen verantwortlich ist.

Und oben steht "Eltern haften für ihre Aufsichtspflicht über ihre Kinder." Sie werden also nicht dafür bestraft, was das Kind getan hat, sondern dafür, was sie selbst falsch gemacht haben (oder nicht wenn nicht), und das ist weder von der Art der Tat noch von der Haftung das selbe. Aber im nächsten Satz hafte ich dann doch für das, was der chinesische Hacker mit meinem Server tut? Nein, so ist das nicht. Für Nicht-ITler sind die Anforderungen übrigens deutlich niedriger, was das Raushalten von professionellen Angreifern angeht. Es gibt nämlich gerade keine verpflichtende Adminprüfung, bevor man einen Server betreiben darf.

Aber vielleicht habt ihr auch Recht: Viel zu riskant hier. Man sollte lieber einen Server von einem nicht-EU Anbieter nehmen, keine europäische Domain dazu und das ganze hinter Cloudflare verstecken. Dann ist alles ganz schön ordentlich hier, und keine Server brauchen auch keinen Strom.

Wie viele hier haben ständig einen Virenscanner auf ihrem Server laufen? Weiß doch jeder, dass Computer ohne Virenscanner unverantwortlich sind, oder? Mit Windows wird einer mitgeliefert, mit Debian nicht. Klare Sache, was die Profis einsetzen sollten.

Zitat von Hille

In dem Fall, rein rechtlich leider schon.

Eltern haften nicht mal für ihre Kinder, aber ich hafte für einen chinesischen Hacker? Ich weiß nicht, wie obrigkeitshörig man sein muss, um sowas zu denken, aber ich denke immer öfter, dass Gärtnern vielleicht ein schöneres Hobby ist. Demnächst muss der Server alle zwei Jahre von der Dekra durchgecheckt werden, damit er ans Internet darf, sonst ist man die Adminversicherung los und im Fall eines Zerodays arm wie eine Kirchenmaus. Ich frag mich ja immer, vor was die Superadmins so viel Angst haben? Eure Server sind doch sicher? </Rant>

Zitat von Hille

illegaler Content darüber verbreitet wird und du alleine dafür die Verantwortung trägst

Nicht auf den speziellen Fall bezogen sondern ganz allgemein: Man trägt nicht die Verantwortung dafür, was andere tun, nur weil sie es mit etwas tun, das einem gehört. Man trägt höchstens die Verantwortung dafür, dass man es ihnen zu leicht gemacht hat, aber das ist bei weitem nicht das selbe.

Zitat von TBT

Das lernt man zu Hause, hinter der Sicherheit des Routers in einer kostenfreien Linux VM.

Es ist nicht mehr weit, bis man eine amtliche Erlaubnis mit Kenntnisnachweis, Pflichtversicherung und Updatebuchführungsauflagen braucht, um einen Server zu mieten. Dürfen Provider solche gefährlichen Dinger überhaupt an Leute ohne Serverschein abgeben?

Wie steht ihr zu einem optionalen Guthaben/Prepaid-System für die Abrechnung? Man bezahlt sowieso im voraus, aber man kann nicht die erwarteten Kosten für einen Zeitraum + Sicherheitspuffer einzahlen und Rechnungen daraus begleichen lassen. Benachrichtigungen bei Unterschreitung einstellbarer Guthabenschwellen wären dann auch praktisch. Business case für Netcup: dieses Thema. Mich würde das das Klein-klein der Rechnungen etwas leichter nehmen lassen und mir etwas Sicherheit gegen übersehene Rechnungen und unbeabsichtigte Zahlungsunregelmäßigkeiten geben.

This difference looks like currency conversion fees. You paid Netcup in Euro and Netcup refunded in Euro, but both transactions incurred a fee. The overcharge was Netcup's mistake and they need to refund you the additional transaction costs that resulted from their mistake too. The alternative is what Netcup already told you: Dispute the charge with your credit card company because it was clearly an error. Your credit card company should then cancel both transactions at no cost to you and take any fees from Netcup, not you.

Zitat von Paul

you probably don't have a real legal claim

Not legal advice, but that is definitely Netcup's problem, not that of the customer or the credit card company. Netcup can count their lucky stars if currency conversion fees are the only damage from these overbillings. Other conceivable problems could be overdraft fees, cancelled payments due to overdrawn accounts, cancelled orders due to cancelled payments, locked/terminated accounts at other companies due to lack of payments, etc. This was no small mistake on Netcup's side.

Nach der Beschreibung reicht erstmal, den cups-browsed zu stoppen oder mindestens abzuschotten. Der horcht auf UDP Port 631 und macht dumme Sachen mit ungeprüften Daten, die er da empfängt. Also auf systemd-Systemen: systemctl disable cups-browsed.service und systemctl stop cups-browsed.service

Cups-browsed ist dafür zuständig, Drucker zu finden und automatisch verfügbar zu machen. Die eigentliche RCE ist in einem anderen Teil von CUPS, aber ohne die Möglichkeit, Drucker automatisch hinzuzufügen, sind Remote Angreifer erstmal raus. Am restlichen Druckvorgang ist cups-browsed nicht beteiligt. Bei der wieder mal zur Schau gestellten Softwarequalität im Druckerbereich will man den Rest von CUPS aber wahrscheinlich auch nicht haben, wenn man nicht darauf angewiesen ist. Wer auf einem anderen Weg einen Drucker hinzufügen und einen Druckauftrag starten kann, hat auch ohne cups-browsed root.

Vor ein paar Stunden kamen Updates für alle möglichen CUPS Komponenten.

Hat jemand Erfahrung, ob Netcup mit binären oder dezimalen Kilos, Megas, Gigas und Teras rechnet? In der Netzwerkwelt sind die dezimalen üblicher, also 3000000 und 1000, nicht 3141592 und 1024.

Das Skript reicht aber so oder so nicht, um rechtzeitig gewarnt zu werden. Wenn man das einmal täglich aufruft, bekommt man vielleicht einen Hinweis, dass man zu viel übertragen hat, aber dann ist es zu spät, und wenn man kurz vor dem vorherigen Aufruf viel übertragen hat, aber unter dem 24h Limit geblieben ist, und dann bis zum nächsten Aufruf den Durchschnitt nutzt, wird man gedrosselt, ohne überhaupt einen Hinweis vom Skript zu bekommen. Wenn man es öfter aufruft, wird die Grenze nicht erreicht, die ja für 24h kalkuliert ist, erhält also ebenfalls keinen Hinweis, selbst wenn man zu viel überträgt. Leider ist es dann doch nicht so einfach. Man sollte den Datenfluss häufig abfragen und speichern, so dass man ständig einen gleitenden Mittelwert bilden kann. RRDtool von Tobias Oetiker würde sich für sowas anbieten. Das ist ja quasi die Anwendung, für die das ursprünglich geschrieben wurde.

Das sollte man ja immer, bevor man irgendwo etwas bestellt. 60TB/Monat entspricht 2TB/24h, entspricht 200Mbit/s. Oder 90/3/300, oder... Für gleichmäßige Auslastung ist das alles das selbe, und wenn du das im 24h Mittel nicht überschreitest, sind sogar tageszeitliche Schwankungen kein Problem.

Edit: Ein VPS250 G11s beispielsweise kostet 4€/Monat und wird auf 200Mbit/s gedrosselt, wenn das im 24h-Durchschnitt überschritten wird. 200Mbit/s reichen für über 1000 Streams zu je 128kBit/s, also weniger als 0,4ct/Monat/Stream bei voller Auslastung. Wenn der Server die Hälfte des Tages nicht gebraucht wird, gehen den Rest des Tages doppelt so viele, jedenfalls von der Bandbreite her.

Nebenbemerkung, die ein wenig an der Frage vorbeigeht: Die Grenze zur Trafficbeschränkung ist bei Netcup inzwischen nicht mehr monatlich zu sehen (Drosselung nach x TB/Monat) sondern greift relativ zeitnah. Du kannst also nicht einige Tage oder Wochen volles Tempo machen und wirst dann auf viel weniger gedrosselt, sondern wenn der Durchschnitt der letzten 24 Stunden über der "normalen" Bandbreite des Produkts liegt, wirst du auf diese "normale" Bandbreite gedrosselt. Das reicht, um einzelne Aktionen mit höherem Bandbreitenbedarf ungebremst durchzuführen, aber im Dauerbetrieb steht dir nur die Bandbreite zur Verfügung, auf die gedrosselt wird. Du bekommst also fast das gleiche Bandbreitenmanagement kostenfrei aufgedrückt, das du dir selbst auferlegen müsstest, um die Grenze nicht zu überschreiten.

Es reicht nicht, nur deine Passwörter zu ändern. Du musst auch schauen, dass du noch der einzige Benutzer deines Accounts bist, also dass keine weiteren Email-Accounts angelegt wurden, keine Cronjobs immer wieder Lücken aufreißen, etc.. Angreifer nutzen ihren Zugriff in der Regel dazu, sich Hintertüren zu schaffen, durch die sie wieder reinkommen, wenn die ursprüngliche Lücke geschlossen wird.

Die Lücke kann auch außerhalb deines Netcup Accounts bestehen: Z.B. könnte sich jemand Zugang zu deinem Email-Account oder deinem Computer/Handy/Router verschafft haben und so ständig auf dem Laufenden sein, was deine Passwörter (nicht nur) beim Webhoster angeht.

Wenn dir das regelmäßig trotz Wechsel des Hosters passiert, ist es auch nötig, dass du den Weg findest, wie der Angreifer reinkommt. Du hast dann wahrscheinlich ein grundsätzliches Problem, das nur durch Bereinigung oder Neuanlage der Hostingpakete nicht zu beheben ist.

Ja, du musst das selbst machen oder deine Software muss das machen, aber Netcup hat mit Zertifikaten auf einem von dir gemanagten VPS genausowenig zu tun wie mit Zertifikaten bei Fremdhosting.

Zitat von Ganzjahresgriller

Nachdem wir alle keine Glaskugeln haben

Die Frage war nicht nach dem passenden Rootserver sondern nach einem System, das den Netzwerktraffic überwacht und vor einstellbaren Limits warnt. Ich kann keins empfehlen, aber Auswahl gibt es reichlich.

Das ist eine völlig andere Frage, aber ja, das geht. Für die Netcup DNS-API gibt es Plugins, um die DNS01-Challenge durchzuführen. Alternativ kannst du die spezielle dafür verwendete Subdomain per CNAME verbiegen oder per NS delegieren und die Autorisierung bei einem anderen DNS-Hoster machen. Mit der DNS01-Challenge kannst du dir ein Wildcard-Zertifikat ausstellen lassen, das du auf deinem Reverse Proxy installieren kannst. Allerdings musst du das selbst einrichten. Netcup besorgt das Wildcardzertifikat nicht für dich und installiert es auch nicht auf deinem VPS. Netcup erzeugt Zertifikate für Domains in Webhosting-Paketen, und zwar nur mit der HTTP01 Challenge, also keine Wildcards.

Wenn der AAAA Eintrag für @ noch da ist, liegt es an dem. Wildcard Records (für *) gelten nur für Namen, die nicht anderweitig existieren. "www" existiert aber wegen des CNAME-Records schon. Der AAAA-Record für * hat deshalb keine Wirkung für "www".

Die andere Möglichkeit sind alte Einträge im Cache, aber das erledigt sich dann mit der Zeit von selbst.

Mit der beschriebenen Methode wird DNS beim bisherigen Anbieter (Netcup) gehostet, aber der Webserver ist der von W*. Das Zertifikat ist eine Sache des Webservers, zumindest mit der HTTP01-Challenge von Letsencrypt. An der DNS01-Challenge müsste der DNS-Hoster (in diesem Fall Netcup) mitarbeiten, aber die Fehlermeldung oben ist, dass Netcup wie immer die HTTP01-Challenge versucht und scheitert, weil das Token vom W*-Webserver nicht abrufbar ist. Da hat Netcup es ja nicht hingelegt. Selbst wenn Netcup sich ein Zertifikat besorgen könnte, müsste das immer noch im Webserver von W* installiert werden. Wenn du für die Domain den Webserver von W* verwendest, ist das Zertifikat deshalb die Sache von W*, nicht von Netcup. W* wird ebenfalls die HTTP01-Challenge verwenden, weil es mit den DNS-Änderungen nach deren Anleitung nicht anders automatisch geht.

Wenn du die Webseite bei W* hostest, hat Netcup nichts mit dem Zertifikat zu tun. Das muss W* erstellen und installieren. Die Änderung der IP-Adresse der Domain ohne www kann etwas dauern. Außerdem musst du den IPv6-Eintrag noch entfernen, sonst kommen Nutzer mit IPv6 noch darüber zum Netcup-Server.

Zitat

DNSSEC

Na endlich...

Diese Lösung wurde im Forum vor ein paar Monaten von christianr erwähnt:

Die Antwort hast du ja schon bekommen, aber hier gibt es noch etwas dazu zu lesen:

Ergänzung: Ein weiterer Test bestätigt meinen Verdacht. Anders herum, also Verschieben als erste Action und Markieren als zweite Action, funktioniert nicht. Dann wird die Email nur verschoben, aber von der Markierung fehlt jede Spur.