Mal wieder zur Drosselung 18-24 Uhr

[Matze88]

Du findest es also nicht schlimm? Ich schon!
Es kann jeder, der physischen Zugang zu meinem Netz mal kurz bekommt in der Zeit danach theoretisch beliebigen Müll mit meinen Diensten machen.

Die dumme Situation ist weder die, wo mir zusätzliche Aliase angelegt werden, noch die, wo welche gelöscht werden. Dumm ist es dort, wo man mir nen DynDNS Eintrag löscht UND dann hinter diesen DynDNS seine eigene Maschine steckt. Ich verbinde nun auf eine fremde Maschine und würde z.B. bei einem FTP Server meinen Benutzeraccount preisgeben. Mit diesem Account kann dann der andere sich seelenruhig auf meine richtige Maschine einloggen. Führt er eine "ordentliche" Man in the Middle Attacke durch, so bekomme ich das unter Umständen wirklich erst mit, wenn ich in meinem Kundencenter sehe, dass dort die DynDNS garnicht mehr drin steht.

Also: Das gesamte Sicherheitsrisiko ist eher im niedrigen Bereich einzustufen, aber erhöht wird eben massiv die Lausch- bzw. Man-in-the-Middle Gefahr bei Lösungen, die prinzipiell schon vorher soetwas ermöglichen. Klar, wenn ich ne TLS Verbindung mit Serverzertifikatsvalidierung mache (und das ist zumindest bei mir der einzige Verwendungszweck), ist es nur ärgerlich ("geht nicht!"), aber es kann kein größerer Schaden entstehen. Der Ottonormalverbraucher dürfte allerdings, sofern er das nutzt, wirklich eher FTP (unverschlüsselt!) benutzen. Genau dieser Mensch ist dadurch gefährdet.

Die Rahmenbedingungen in so ein Netz eindringen zu können sind garnicht so schlecht: Sei es auch nur mal wieder das unverschlüsselte Wlan.

Naja, mal schauen was jetzt noch passiert.

[ew59]

Es kann jeder, der physischen Zugang zu meinem Netz mal kurz bekommt in der Zeit danach theoretisch beliebigen Müll mit meinen Diensten machen.

O.k. da geh ich mit.

Die dumme Situation ist weder die, wo mir zusätzliche Aliase angelegt werden, noch die, wo welche gelöscht werden. Dumm ist es dort, wo man mir nen DynDNS Eintrag löscht UND dann hinter diesen DynDNS seine eigene Maschine steckt.

??? Wer soll Dir den DynDNS-Eintrag löschen? Deinen DynDNS-Eintrag bestimmst Du selber über Deinen DynDNS-Account. Die Credentials (Anmeldedaten) kannst Du z.B. in die Homebox eintragen, dann generiert diese das für dich. Du kannst das aber auch über die Dyndns-Webseite machen. Diese Variante würde ich nehmen, wenn ich, wie hier im Thread geschildert, meinen DynDNS-Eintrag zu einem fremden Anschluss (egal, ob bei KDG, Arcor, ...) und dessen IP verweisen lassen will.

Ich verbinde nun auf eine fremde Maschine und würde z.B. bei einem FTP Server meinen Benutzeraccount preisgeben.

Allerdings - das ist natürlich dumm - dumm gelaufen. Das kann Dir aber immer passieren, wenn Du eine dynamische IP hast, dein DynDNS-Eintrag auf diese verweist, jedoch inzwischen die IP-Adresse jemanden anderen gehört. Da bei einer Trennung vom ISP idR keine Aktualisierung des DynDNS-Eintrags erfolgt, ist das sogar der Normalfall. Also musst Du Dich anderweitig absichern, z.B. kein Fileprotokoll mit Klartextpasswörtern verwenden sondern solche wie ssh, ssl oder openvpn. Dort kannst Du sogar anstelle von Passwörtern Publik-Key-Authentifizierung nutzen, da geht gar nichts ab.

Mit diesem Account kann dann der andere sich seelenruhig auf meine richtige Maschine einloggen. Führt er eine "ordentliche" Man in the Middle Attacke durch, so bekomme ich das unter Umständen wirklich erst mit, wenn ich in meinem Kundencenter sehe, dass dort die DynDNS garnicht mehr drin steht.

Da wäre er schön blöd. Ich an seiner Stelle würde da drüber die neuesten Filme, die ganzen von Bushido selbst komponierten Raps und das ganze MI- und KiFi-Zeuchs auf Deinem FTP-Server deponieren.

Klar, wenn ich ne TLS Verbindung mit Serverzertifikatsvalidierung mache ..., ist es nur ärgerlich ("geht nicht!"), aber es kann kein größerer Schaden entstehen.

Yep - und es wäre auch die einzige Kommunikationsform, wo ich meine Credentials drüber jagen würde. Einen Indianer mit offenem Tipi betreibe ich - aber ohne Anmeldedaten

Der Ottonormalverbraucher dürfte allerdings, sofern er das nutzt, wirklich eher FTP (unverschlüsselt!) benutzen.

Tja, gegen Dummheit hilft nur Aufklärung und entsprechend geändertes Verhalten.