Beiträge von MyMattes

Zitat von KrisAusEU

Mit vernünftig meine ich, ich will da keine HD streams übertragen oder zocken, sondern einfach nur eine stabile Leitung zu meinem PC, haben, und diesen ohne Zeitlupenreaktion, besonders bei der Maus, bedienen zu können.

Ich würde mich darauf einstellen, dass diese Art von Remote-Arbeit nicht wirklich funktioniert: Weniger wegen mangelnder Bandbreite - wobei 2 MBit/sec schon ziemlich dünn sind - sondern eher wegen zu langer Latenzen: Gerade die Benutzung einer grafischen Oberfläche dürfte dabei wenig Spass machen. Besteht nicht die Möglichkeit, die grafiklastigen Arbeiten lokal am Laptop zu machen und die Remote-Tätigkeiten auf Web-Frontends und (text-basierte) Konsolen zu beschränken? "Echtes" System-Management findet doch eh auf der Kommandozeile statt

Zitat von beta

ich möchte keine Grundsatzdiskussion über die Sinnhaftigkeit des Webmail von der Stange brechen und es geht hier auch nicht um meine Vorlieben, sondern um die Vorlieben derer, für die ich das in diesem Fall mache

Schade, dass eine - mit Ankündigung - ernst gemeinte Frage als Start einer Grundsatzdiskussion verstanden wird: Schliesslich wäre neben diversen technischen Lösungen vielleicht auch ein Hinterfragen von Anforderungen sinnvoll.

Aber ich will Dir - und anderen - hier keine Diskussion aufdrängen, einfach weitermachen…

Zitat von beta

dritte alternative: man verwendet einfach https://webmail01.netcup.net/, oder?

Ernst gemeinte Nachfrage:

Wozu benötigst Du (oder auch andere mit ähnlichen Fragestellungen) überhaupt Webmail? Ich habe bei mir festgestellt, dass ich das Feature vor x Jahren ganz toll fand („wenn ich mal im Urlaub in der Pampa an meine Mails muss“) - und quasi nie benutzt habe: Letztlich hatte ich immer ein Device mit Mail-Client und Internet-Verbindung dabei, und meine Nutzer (Verwandtschaft) auch … und das nun seit Jahren.

Netcup Webmail ist bei meinen Domains sogar deaktiviert und wurde nur explizit zum Einstellen von 1-2 Sieve-Filtern aktiviert. Was habe ich verpasst?

Kennt jemand von Euch eine Möglichkeit, diese (bekannten) Schwachstellen aus dem Reporting des WP-Toolkits auszuschliessen? Also im Sinne eines "acknowledged, ich kann ja momentan eh nix machen".

Hintergrund: Ich schaue regelmäßig im Webhosting nach Problemen / offenen Punkten. Dort lacht mich jetzt immer sehr prominent ein rotes Ausrufezeichen bzgl. WP-Schwachstellen an und ich muss erst in den Details nachschauen, dass es sich "nur" um die oben genannten handelt. Da sie z. Z. keine Aufmerksamkeit erfordern, würde ich sie gerne "quittieren"...

Zitat von Braatling

kann ich die Meldungen also getrost liegen lassen?

Jein: An den beiden ersten kannst Du nichts ändern, die dritte aber wenigstens durch das WP Toolkit "mitigieren" (also nicht korrigieren, aber im Risiko mindern). Und den WP-Core schön aktuell halten - für diese und zukünftige Schwachstellen...

Zitat von cltrmx

Eine Verbindung über LAN-Kabel ist nicht möglich, da (wie immer) keine baulichen Maßnahmen geschehen sollen und natürlich auch keine LAN-Kabel oder Leerrohre vorhanden sind.

Vielleicht gibt es eine Option mit flachen Patch-Kabeln? Ich bekomme - trotz anderslautender Spezifikation - damit Gigabit und diese lassen sich gut in Fussleisten, unter Teppichen und auch in Fensterrahmen eingeklemmt verlegen. Vielleicht lässt sich so ja doch ein „Backbone“ schaffen, ich stimme frank_m da vollkommen zu…

Ich habe daheim seit Jahren drei Draytek Vigor AP 902 im Einsatz - zwei davon per PoE - und bin sehr zufrieden (aktuell ist wohl der sehr ähnliche Vigor AP 903). Ich hatte schon vor Urzeiten gute Erfahrung mit den ISDN-Routern von Draytek gemacht und daher diese Access-Points ausgesucht, um folgende Anforderungen zu erfüllen:

• Integrierter Gigabit-Switch mit mindesten 3 Ports
• PoE
• Mehrere SSIDs

Die Konfigurationsmöglichkeiten sind umfangreich, inkl. Bandsteering, aber bei meinem Modell noch kein Mesh … was ich eher als Vorteil sehe: Die APs hängen in einer strukturierten Gebäude-Verkabelung per Ethernet am Eingangsswitch und bringen mit identischer SSID mein Heimnetz in drei Etagen. Mangels Controller habe ich kein TR-069 Management, sondern die Gerätekonfigurationen über eine angepasste Sicherungsdatei vereinheitlicht: Device-Management für Arme, aber besser als klicken

Sehr positiv sind die kontinuierliche und langfristige Versorgung mit FW-Updates und der Support - als ich einmal Probleme mit einem Update per TFTP hatte.

Zitat von TheFloyd

Habe kein SSH.

Sicher? Solltest Du ein Webhosting-Produkt haben, kannst Du Dich sehr wohl per SSH auf eine chroot-Umgebung anwählen. Die Anmeldedaten findest Du im "Web"-Plesk - wie auch die Option, diesen Zugang zu deaktivieren.

Edit: Konkret unter "Hosting und DNS" - "Hosting" einer beliebigen Website Deines Produktes mit dem Sytembenutzer / -passwort ... das konnte ich gestern nicht mehr nachschauen.

Zitat von Win98SE4ever

Im privaten Umfeld kommt dies aber kaum zum Einsatz.

Nach Versuchen mit PGP und X.509 mangels Akzeptanz im privaten Umfeld wieder ad acta gelegt ("was ist denn das für ein Anhang?"). Zugegebenermaßen deutlich mehr als 10 Jahre her und zumindest die X.509-Unterstützung in den Clients hat Fortschritte gemacht. Dennoch sehe ich Emails noch als Postkarte an - meistens.

Zitat von Irrwisch

Und man kann es auf so einfache Weise so viel besser machen, ganz ohne Zwischenparteien, warum das Schöngerede hier?

Weil das hier ein Web-Forum ist…

Nein, ernsthaft: Ich wundere mich schon sehr über solche Diskussionen, die wohl eher dem Selbstzweck dienen. Warum sonst sollte man mit Halbwissen über rechtliche Vorgaben und Einschränkungen technische Implementierungen diskutieren, für die man nicht zuständig ist? Vielleicht, um sich zu profilieren, frei nach dem Motto „ich weiss es aber besser…“?

Es mag an meiner heutigen Tagesform liegen, aber für mich gibt es zwei Alternativen: Einfach nur Bock am Diskutieren - dann gerne weiter so, oder Interesse an einer Besserung. Bei letzterem halte ich einen direkten Kontakt vom Betroffenen mit netcups‘s Datenschutzbeauftragten immer noch für den sinnvollsten Schritt.

Edit: Für Fakten-Interessierte hier eine interessante Info-Seite des Landesbeauftragten für Datenschutz in Schleswig-Holstein (D).

Zitat von m23

Anrufen alleine wird ja nicht ausreichen, die Anforderung war ja sehr eindeutig. Feedback gibt es hier zum Mitlesen und per Support-Ticket - bisher unbeantwortet.

Je nachdem, wieviel Aufwand Dir diese Angelegenheit wert ist, würde ich das Vorgehen durchaus unter https://www.netcup.de/kontakt/datenschutzerklaerung.php dem Datenschutzbeauftragten von netcup schildern ... sowie Deine Verwunderung bzw. den Unmut Deines Kunden: Ich kann beides sehr gut nachvollziehen und bin froh, im Oktober mit einem Rückruf (D) ausreichend verifiziert worden zu sein. Diese Umsicht fand ich durchaus positiv - bei der Ausweiskopie plus Foto mit Vertragsnummer wäre das nicht mehr so.

Hier ist meines Erachtens klar zwischen notwendiger Verifizierung und deren Abwicklung zu unterscheiden: Einem Hosting-Provider mute (und traue) ich zu, hierzu einen datensparsamen, DSGVO-konformen und hinreichend benutzerfreundlichen Prozess zu etablieren. E-Mail mit Ausweiskopie ohne Schwärzung geht gar nicht und das sollte der Datenschutzbeauftragte intern klären - ich könnte mir vorstellen, dass ein normales Supportticket dort nie ankommt.

Moin!

Apple ist auch nicht mehr, was es mal war: Boote den Mac mal durch und teste dann noch einmal.

Ich habe in ähnlicher Situation mit iDevices und Mac fast graue Haare bekommen, weil diese immer wieder auf ungültige SMTP-Settings zugriffen. Ausserdem schien es einen Unterschied zu machen, ob ich die Einstellung über "Internet-Accounts" (System Settings) oder "Accounts" (Mail.app) machte ... IIRC

Zitat von mainziman

und dennoch gilt: man sollte als Entwickler bei einer Schiene bleiben, die man auf Grund von Erfahrung/Routine mittlerweile beherrscht;

der Umstieg auf eine neue Schiene birgt meist mehr Risiken/Fehler als der Nutzen bringen würde;

Hier gerne auch verallgemeinert - wobei ich den Punkt bzgl. Programmiersprachen teile: Mich irritiert schon, in welcher Geschwindigkeit in den letzten Jahren neue Sprachen auftauchen (und häufig auch wieder verschwinden): Bevor man sich auf den nächsten "heissen Scheiss" einlässt, sollte man m. E. gut abwägen, welche konkreten Vorteile sich ergeben:

• Wer schreibt so zeitkritischen und hochoptimierten Code, dass Geschwindigkeitsvorteile zum Tragen kommen?
• Wie lesbar ist der geschriebene Code (auch noch nach Jahren / Wartungspausen)?
• Wie breit ist die Unterstützung durch APIs (auch in Communities)?

Trotzdem bin ich der Meinung, die verwendete Programmiersprache ist zweitrangig für Softwarequalität: Wer programmieren kann, eignet sich auch relativ schnell eine neue Syntax oder Sprachkonstrukte an. Wer nachlässig arbeitet, produziert auch mit einer high-sophisticated Sprache Schrott.

A fool with a tool is still a fool...

Zitat von ThomasChr

Also das viele Sprachen einen Stack Overflow mittlerweile unmöglich machen ist doch jetzt kein Trugschluss, oder habe ich dich falsch verstanden?

Nö, meines Wissen hast Du das schon richtig verstanden - aber es gibt ja mehr Möglichkeiten, unsicheren Code zu schreiben als nur Stack-Overflows zu vermeiden.

Zitat von mainziman

auch das teuerste Auto landet

(i) im Straßengraben

(ii) gegen einen Baum

(iii) ...

wennst man es nicht beherrscht;

Ich liebe Auto-Vergleiche

Also, ein Auto ohne ABS fährt im Regelfall genauso gut wie eines mit. Bei einem sehr erfahren (sic!) Fahrer mag es in Grenzsituationen sogar Vorteile bieten, für die Allgemeinheit stellt das Anti-Blockier-System aber einen Sicherheitsgewinn dar, der die Nachteile überwiegt. Aber dessen Vorhandensein darf nicht dazu führen, dass man (auf ein ABS vertrauend) bei Regen mit Minimalabstand hinter dem Vorausfahrenden klebt.

Nicht alles, was hinkt, ist ein Vergleich, aber ich sehe es bei Programmiersprachen ähnlich: Wenn sie grobe Schnitzer gar nicht erst zulässt, ist das erstmal ein Vorteil. Manchen Experten könnten die damit häufig verbundenen Einschränkungen behindern, so dass er lieber auf weniger restriktive Sprachen ausweicht. Es bleibt dann zu hoffen, dass dessen Fähigkeiten die eigene Einschätzung als "Experte" rechtfertigen...

Und es bleibt das Risiko der "Scheinsicherheit" (siehe oben), nämlich dass "Programmier" darauf vertrauen, die Sprache würde schon für guten / sicheren Code sorgen - definitiv ein Trugschluss.

Moin!

Mich irritiert seit einigen Tagen eine Anzeige im WordPress Toolkit meines Webhosting 8000: Dort werden drei Vulnerabilities gelistet, die aber schon Jahre existieren. Diese beziehen sich auf schwache MD5-Hashes, fehlende Verschlüsselung der Activation-Keys und SSRF-Schwachstellen:

• WordPress Core - Informational - All known Versions - Weak Hashing Algorithm
• WordPress Core - All Known Versions - Cleartext Storage of wp_signups.activation_key
• WordPress Core All Versions - Unauthenticated Blind Server-Side Request Forgery vulnerability

Screenshot.png

Mich irritiert nicht, dass diese Schwachstellen trotz aktueller WP-Version gelistet werden - schliesslich sind sie auch mit WordPress 6.5 nicht gefixt. Aber sie werden mir erst seit wenigen Tagen angezeigt. Habt Ihr bei Euren Webhosting-Produkten ähnliche Effekte? Kann es sein, dass das WP-Toolkit vor kurzem aktualisiert wurde und als Folge diese CVEs erst neuerdings aufzeigt?

Ich kann Eure Verwirrung / Verwunderung gut verstehen, ging es mir beim Providerwechsel genauso bzgl. der Unterscheidung Mail-Konto vs. Mail-Adresse. Nach einem halben Jahr kann ich sagen: Alles nicht so wild und nur eine Sache der Gewohnheit:

Ich habe Postfächer für "primäre" Adressen und nutze hauptsächlich Aliasse auf diese. Sofern das nicht geht (mehrere Empfänger oder andere Domain) kommt eine Weiterleitung zum Zuge, diese wird (wie oben von Bud erwähnt) ohne Postfach und nur mit einem Dummy-Passwort (da mandatory) erstellt.

Zitat von Pflichtfeld

Also, ich habe nun eine Menge Kommentare in der Form "das ist alt, also ist es unsicher" gelesen. Als ich nachgefragt hatte, welche Sicherheitslücke konkret existiert, kam nichts, nur "da wird es schon etwas geben".

[...]

Wenn es irgendwo eine echte Lücke gibt, dann bitte melden. Eventuell lass ich dann auch ein entsprechendes finanzielles Dankeschön springen.

Hier wird wohl kaum jemand ein ernsthaftes Pen-Testing Deines Servers durchführen, ohne (1.) angemessen entlohnt zu werden und (2.) eine entsprechende Erklärung inkl. Haftungsausschluss zu haben.

Schade, dass Du unsere gut gemeinten und locker formulierten Kritiken "in den Wind schiesst". Das hat mit Fan-Gebaren wenig zu tun: Du handelst grob fahrlässig und leider müssen andere (mit) darunter leiden, wenn Dein System kompromittiert wird und in Bot-Netzen für Spams, DDoS u. ä. auftaucht.

Ich hoffe, Du arbeitest nicht professionell in der IT...

Zitat von Pflichtfeld

Funktioniert irgendeine Sicherheitslücke davon auf meinem Server?

Och, das finden bestimmt andere für uns heraus ... Du kannst dann ja noch mal Bescheid sagen

Zitat von Pflichtfeld

Ja, ist Windows 2000. Falls jemand eine echte Sicherheitslücke findet, bin ich um einen Hinweis dankbar. Soweit sind mir trotz der Beendigung von der Weiterentwicklung vonseiten Microsoft keine Probleme bekannt.

Naja, eine Sucher bei MITRE dürfte den ein oder andere CVE ergeben ... mir käme ein System ohne aktuelle Security Patches nicht in Betrieb, aber ich bin da auch Chicken.