WinFuture-Forum.de: Sicherheit bei E-Mail - Adressen - WinFuture-Forum.de

Zum Inhalt wechseln

Nachrichten zum Thema: Internet
  • 3 Seiten +
  • 1
  • 2
  • 3

Sicherheit bei E-Mail - Adressen Verhindern, dass verknüpfte Konten gekapert werden


#1 _Sworddragon_

  • Gruppe: Gäste

geschrieben 22. Januar 2014 - 05:26

Vor kurzem wurde ja bekannt, dass etwa 16 Millionen E-Mail - Adressen kompromittiert wurden. Das hat mich dazu gebracht über ein recht komplexes Tehma nachzudenken, was ich schonmal vor einiger Zeit gemacht habe, aber aus irgendwelchen Gründen nichtmehr fortgeführt habe.

Das Problem: Sobald eine E-Mail - Adresse kompromittiert wird, kann der Angreifer durch die "Passwort vergessen" - Funktion diverser Webseiten problemlos das Passwort ändern und sich somit Zugriff auf dieses Konto verschaffen. Meine Gedankengänge beschäftigen sich damit, wie man als Benutzer dieses Problem lösen kann:


Es wird nur eine E-Mail Adresse für alle Dienste im Internet benutzt

Das ist die Ausgangsposition und vermutlich die weitverbreiteste Variante. Die E-Mail - Adresse kann auf 2 Wege kompromittiert werden:

  • Durch ein (in)direktes Eigenverschulden, indem man sich zum Beispiel einen Trojaner eingefangen hat, der die Passwörter mitloggt.
  • Wenn der E-Mail - Provider gehackt wird.


Sobald der Angreifer Zugriff auf die E-Mail - Adresse hat, kann er versuchen die Passwörter sämtlicher verknüpfter Konten zurückzusetzen. Das setzt einige Sachen vorraus:

  • Der Angreifer muss die Konten kennen, welche mit dieser E-Mail - Adresse verknüpft sind. Allerdings sollte man sich durch die potentielle Unwissenheit des Angreifers nicht in Sicherheit wägen, da notfalls ausprobiert und nach Informationsstand heuristisch eingeschränkt wird.
  • Der jeweilige Dienst im Internet muss es zulassen, dass der Besitz einer E-Mail - Adresse bereits ausreicht, um das Passwort zu ändern (was bei den meisten Dienste im Internet der Fall sein dürfte, sogar bei Amazon trifft das zu).



Für jeden Dienst im Internet wird eine eigenständige E-Mail Adresse benutzt

Das Prinzip klingt einfach, man nutzt für jeden Dienst im Internet eine eigene E-Mail Adresse. Denn sobald eine kompromittiert wird, ist auch nur ein Dienst im Internet betroffen. Allerdings treten hier auch wieder Probleme auf:

  • Wenn man alle E-Mail - Adressen bei dem selben E-Mail - Provider lagert braucht dieser nur gehackt zu werden und man hat das selbe Problem wie oben.
  • Um dieses Problem zu umgehen könnte man sich verschiedene E-Mail - Provider suchen, aber das dürfte mit der steigenden Anzahl an Konten, die man im Internet irgendwo erstellt relativ problematisch werden.


Zumindest hat diese Variante den Vorteil, dass man ein Indiz hat, wer schon wieder die E-Mail - Adresse an Dritte verkauft hat, sobald man Spam bekommt.


Man hostet einen eigenen Mailserver

Mit dieser Lösung kann man mehr Kontrolle behalten, allerdings lauern hier auch wieder Probleme:

  • Wenn der Mailserver über einen Anbieter gemietet wird, könnte dieser auch gehackt werden und dann hat der Angreifer auch Zugriff auf alle E-Mail - Konten. Ideal wäre also ein lokaler-/Remote-Mailserver, über den man komplett die eigene Kontrolle hat. Aber selbst dann gibt es wieder Probleme:
    • Der Mailserver ist überlicherweise an eine DNS - Adresse gebunden, was bedeutet, sobald jemand den DNS-Anbieter hackt, könnte er die DNS auf eine andere Adresse umleiten und da man bei den verschiedenen Diensten im Internet ja die DNS-Version der E-Mail Adresse angibt, hat er damit Zugriff auf alle E-Mail - Konten.
    • Möchte man das Einschränken, indem man auf eine DNS verzichtet, hat man wiederrum das Problem, dass man irgendwann die Kontrolle über die IP verlieren könnte. In dem Fall hat man keinen Zugriff auf die E-Mail - Konten mehr, allerdings hat sie dann theoretisch Derjenige, der die IP dann neu zugewiesen bekommt.



Die registrierten E-Mail - Adressen werden auf "tote" Adressen geändert

Man könnte bei der Registrierung eines Kontos bei einem Dienst im Internet einfach eine kryptische E-Mail - Adresse angeben, welche nicht existiert. In dem Fall könnte man sogar eine E-Mail - Adresse für alle Dienste im Internet benutzen. Allerdings ist das auch wieder nicht problemlos:

  • Üblicherweise verlangen Dienste im Internet eine Verifizierung der E-Mail Adresse während der Registrierung und oft sogar, wenn man sie nachträglich ändern möchte, dann hat man das selbe Problem wie oben.
  • Falls man eine nicht-verifizierte E-Mail - Adresse durchbekommt, wäre man tatsächlich sicher, da der kryptische Name wie ein Passwort wirkt und normalerweise nicht einfach so erraten werden kann. Allerdings verliert man so bei dem jeweiligen Dienst im Internet so die Verknüpfung zu einer E-Mail - Adresse und das könnte äußerst nachteilig sein:
    • Sollte der Anbieter des Dienstes im Internet mal gehackt werden, könnte er alle Passwörter sperren und der Benutzer muss sich zwangsweise eins zusenden lassen, wenn er sich das nächste mal einloggen möchte. In diesem Fall würde man den Zugriif auf den Account dauerhaft verlieren, wenn der Anbieter keine alternative Methode anbietet, welche man auch erfüllen kann.
    • Wichtige E-Mails können nicht mehr zugestellt werden, zum Beispiel, dass ein Artikel bei Amazon doch auf einmal nicht mehr lieferbar ist. Das ist zwar etwas ärgerlich, aber kann durchaus in Kauf genommen werden.



Wie man sieht, ist das Problem recht komplex und die einzig sichere Methode (eine kryptisch nicht vorhandene E-Mail - Adresse zu benutzen) bringt ein anderes schwerwiegendes Problem mit sich. Aktuell ist dieses E-Mail - Problem also unlösbar (weswegen ich es vermutlich damals nicht fortgeführt habe), was den Schluss zulässt, das ganze als Client-Server - Modell zu betrachten:

  • Man hat keine Kontrolle über Dienste im Internet, dementsprechend kann man ausgehen, dass mit genügend Zeit früher oder später jedes Konto im Internet selbst ohne die Zuhilfenahme einer E-Mail - Adresse gehackt werden könnte (was man ja nur zu oft in letzter Zeit bei großen Anbietern gesehen hat).


Allerdings werde ich es dementsprechend auch als Sicherheitslücke ansehen, wenn bei einen Dienst im Internet der Besitz einer E-Mail - Adresse ausreicht, um die Kontrolle über das jeweilige Konto zu bekommen. Daher sollte immer einer weitere Sicherheitsmethode zum Einsatz kommen, zum Beispiel einer Sicherheitsfrage, welche man als Passwortersatz ansehen könnte und somit verhindern kann, dass ein Angreifer über die E-Mail - Adresse Zugriff auf dieses Konto bekommt.


Eventuell hat ja jemand noch andere Ideen, findet einen Fehler in einer meiner Ausführungen oder hat sonst was zu diskutieren.

Dieser Beitrag wurde von Sworddragon bearbeitet: 22. Januar 2014 - 05:27

0

Anzeige



#2 Mitglied ist offline   RalphS 

  • Gruppe: VIP Mitglieder
  • Beiträge: 8.895
  • Beigetreten: 20. Juli 07
  • Reputation: 1.126
  • Geschlecht:Männlich
  • Wohnort:Zuhause
  • Interessen:Ja

geschrieben 22. Januar 2014 - 06:51

Das Problem ist doch, daß Email als System inhärent unsicher ist. Wenn man darauf zurückkommt, wenn man das System für irgendetwas nutzt, was mit Authentifizierung zusammenhängt, dann hat man schon allein daher ein Sicherheitsproblem, daß man Email nutzt.

Das sind nun mal Postkarten, die mehr oder weniger trivial fälschbar sind. Sicher gibt es natürlich inzwischen acuh Versuche, das abzumildern: aber es sind nur Versuche, Stop-Gap-Lösungen wie man auf Neudeutsch sagt.

Flicken halt.

Letztlich muß man sich halt immer überlegen, was einem wichtiger ist: Sicherheit, oder Komfort? Beides schließt sich aus, und dummerweise neigt der Mensch dazu, Komfort vorzuziehen.

Das geht ja schon beim Verknüpfen von Konten los: GMX mit Yahoo und Facebook mit Twitter, X mit Y und A mit M; und irgenwann sieht man selber nicht mehr durch, welcher der eigenen(!) Accounts womit verknüpft wurde.

Und so breitet sich das Sicherheitsloch "Email" einfach aus. Über einen "Hack" bekommt man die Zugangsdaten für die Mailadresse. Über die Mailadresse kommmt man an die andere Mailadresse, über diese zweite an Twitte und über letztere an Facebook; und wenn man da angekommen ist, hat man mehr oder weniger problemlosen Zugriff auf alles.

Warum? Wegen der Bequemlichkeit.

Nun kann gern diskutiert werden, wie repräsentativ solche Studien sind, die "123456" als meistverwendetets Paßwort identifizieren. Jegliche Einwände sind durchaus berechtigt, solange die Methodik solcher Studien nicht klar bzw. nicht publik ist.

Ich persönlich bin aber der Ansicht, daß dieses Ergebnis, dieses Paßwort-Ranking eben NICHT unter spezifischen Gesichtspunkten entstanden ist - daß also Argumentationen wie "Wegwerfpaßwort" nicht greifen, einfach deswegen, weil (zumindest meines Wissens nach) solche Wegwerfpaßwörter bisher nicht als "signifikant großen Anteil" nachgewiesen wurden (was aber natürlich diese Möglichkeit auch nicht ausschließt).

Gegen die Methodik von Anbietern kann man nicht viel tun. Das ist zu 100% Vertrauenssache. Der Anbieter mag erklären, daß er die beste am Markt verfügbare Verschlüsselung verwendet: ob diese aber bereits knackbar ist, kann der Endbenutzer ebensowenig einschätzen wie die Frage, ob der Anbieter auch die Wahrheit sagte.

Dazu kommt natürlich noch das sogenannte Social Engineering. Die beste (technische) Sicherheit nützt nichts, wenn man dem eingeweihten Mitarbeiter alle nötigen Informationen entlocken kann (hier setzen auch Geheimdienste an, weswegen aktuelle "Aktionen" diverser Anbieter auch nichts als PR-Aktionen sind bzw. sogar sein können).


Was man tun KANN?

1 - Sowenig wie möglich miteinander verknüpfen. Das ist so ein bißchen der Fluch der Zeit, sicherheitstechnisch gesehen, daß alles freiwillig zusammen gehangen wird - es ist Heuchelei, sich über die NSA zu beschweren, wenn man ihnen die Daten praktisch frei Haus liefert, indem man sämtliche nötigen Wege für sie anlegt.

2 - Sinnvolle Paßwörter. Mich kotzt es ehrlich gesagt an, immer darauf herumreiten zu müssen, aber solche Ergebnisse wie "'Passwort' nicht mehr häufigstes Paßwort -jetzt ist es '123456'" sagen mir, daß es einfach nicht in den Kopfen der Nutzer ankommt. ASDF ist übrigens ebenfalls kein gutes Paßwort!

3 - Alles, was in IRGENDEINER Form mit Authentifizierung zu tun hat - im Klartext: immer dann, wenn man sich irgendwo anmeldet: Darauf achten, daß die Verbindung GESICHERT ist, also zB über https verschlüsselt ist.
Es geht hier nicht mal darum, daß die Verbindung "verschlüsselt" ist, darauf kann man ohnehin nicht viel geben. SSL bzw. TLS erfüllt aber noch einen ganz anderen, viel wichtigeren Zweck: Authenthizität. SSL/TLS arbeiten über Zertifikate, und es ist bis heute noch NICHT möglich, Zertifikate zu fälschen (okay, von Profis wie Geheimdiensten und dergleichen reden wir vorsichtshalber mal nicht -aber die habens auch nicht nötig zu fälschen). Das bedeutet im Endergebnis: wenn man eine SSL-Verbindung hat, hat man ein Zertifikat des Anbieters (sonst funktioniert SSL gar nicht erst). Wenn man dieses Zertifikat hat, hat man rechtssicher(!) die Identität des Anbieters. Und wenn man die Identität des Anbieters hat, kann man sie bei jedem weiteren Anmeldevorgang überprüfen, ob es DIESELBE Identität ist.

Was bedeutet:
1. Anmelden OHNE SSL-Verbindung heißt, die Gegenstelle ist NICHT der den ich will. Der kann mit meinem Zeug machen was ER will und ich bin machtlos.
2. Anmelden MIT SSL-Verbindung bedeutet, ich habe die MITTEL in der Hand, das zu prüfen, und die RECHTSSICHERHEIT auf meiner Seite.
3. SSL allein genügt nicht, wenn ich nicht darauf achte, daß die Gegenstelle DIESELBE ist wie sonst auch immer. Jedermann kann sich, auf die eine oder andere Art und Weise, ein Zertifikat für zB www.winfuture-forum.de ausstellen. Das gilt dann auch für www.winfuture-forum.de. Es obliegt dann dem BENUTZER (also uns) zu überprüfen, ob es auch das RICHTIGE Winfuture-Zertifikat ist - zur Erinnerung, gäbe es keines, könnten wir das nicht prüfen.


4 - In Verbindung mit dem vorhergehenden Punkt sollte klar sein, daß Emails nur über verschlüsselte Verbindungen laufen DÜRFEN. Das sollte eine Selbstverständlichkeit sein.

5 - Was ein gutes Paßwort ausmacht, darüber scheiden sich die Geister. Auch hier gilt aber wieder: sicher, oder bequem? Paßwörter mit System sind bequemer als solche ohne, aber eben auch unsicherer; andererseits sind sie natürlich sicherer als ein einzelnes Paßwort für alles (egal wie sicher dieses auch sein mag).

6 - UNsichere Paßwörter sind alle diejenigen Paßwörter, die an Diensten hängen, welche eben NICHT nur für einen Zweck genutzt werden. Insbesondere dann, wenn man sich nicht sicher ist, ob fraglicher Dienst seriös ist oder nicht. Das hat nichts mit der Art des Paßwortes zu tun: sondern damit, daß es einer größeren Angriffsfläche ausgesetzt ist.

7 - Ein eigener Emailserver ist eine Sache für sich. Man KANN diesen sicherer gestalten als alle anderen verfügbaren Lösungen... wenn man weiß, wie, und wenn man auch die Zeit hat, diesen zu verwalten (set-and-forget ist damit NICHT drin). Das heißt im allgemeinen leider insbesondere, daß eigene Mailserver die mit Abstand GRÖßTE Sicherheitslücke darstellt. Mailserver zu konfigurieren mag noch relativ trivial sein. Die Absicherung ist aber alles andere, und die Einbindung ins Netz kommt auch noch dazu.
NB: Email funktioniert in der Praxis ohne DNS erst gar nicht - man landet mehr oder weniger sofort auf der Spam-Blacklist und dann kann man diese Mailkonfiguration komplett vergessen - womöglich sogar den kompletten Mailbetrieb, weil der IP-Adressraum gleich mit geblockt wurde; dann kriegt man einen HAUFEN Ärger mit dem Internet-Dienstanbieter.

8 - Wer jetzt auf die Idee kommt: dann mach ich das eben privat von zu Hause aus, der lebt noch viel gefährlicher. Der Mailserver schickt ganz schnell mal so eben ein paar Millionen Emails los - und das merkt man nicht, wenn man nicht jederzeit einen Blick auf die Logs hat (sollten sie wieder mal deaktiviert sein, merkt man es gar nicht). Das geht dann eine Weile gut, aber irgendwann steht dann jemand vom eigenen ISP vor der Türe.


Ansonsten gilt halt wie immer: Paßwörter nur EINMAL nutzen, regelmäßig ÄNDERN, NIEMALS aus der Hand geben, idealerweise nicht auf dem Rechner speichern (und schon gar nicht in der Cloud!) ---das Übliche halt.
Wenn man denn sowas wie Keepass verwendet (ich tu das auch), zumindest darauf achten, daß der Schlüssel zum Safe mindestens zweiteilig ist... beide sind dann getrennt aufzuheben.

Heutzutage ist der Zettel am Monitor das weitaus geringste Problem, wenn es um Privat geht.

Und, wie gesagt, sich nicht blindlings im Internet ausbreiten und jeden Scheiß breittreten. Sicherheitsabfragen wie "Nagellackfarbe der Oma" sind keine Hürde, wenn das auf dem gleichnamigen Facebookprofil steht.
"If you give a man a fish he is hungry again in an hour. If you teach him to catch a fish you do him a good turn."-- Anne Isabella Thackeray Ritchie

Eingefügtes Bild
Eingefügtes Bild
1

#3 _Sworddragon_

  • Gruppe: Gäste

geschrieben 22. Januar 2014 - 19:58

Beitrag anzeigenZitat (RalphS: 22. Januar 2014 - 06:51)

Das Problem ist doch, daß Email als System inhärent unsicher ist. Wenn man darauf zurückkommt, wenn man das System für irgendetwas nutzt, was mit Authentifizierung zusammenhängt, dann hat man schon allein daher ein Sicherheitsproblem, daß man Email nutzt.


Allerdings kann man damit auch nicht verhindern, dass ein bestimmter Dienst im Internet eine verifizierte E-Mail möchte, womit dieses Problem in diesem Fall dann möglicherweise dauerhaft besteht.


Beitrag anzeigenZitat (RalphS: 22. Januar 2014 - 06:51)

1 - Sowenig wie möglich miteinander verknüpfen. Das ist so ein bißchen der Fluch der Zeit, sicherheitstechnisch gesehen, daß alles freiwillig zusammen gehangen wird - es ist Heuchelei, sich über die NSA zu beschweren, wenn man ihnen die Daten praktisch frei Haus liefert, indem man sämtliche nötigen Wege für sie anlegt.


Wobei für jedes Konto eine eigene E-Mail - Adresse zu erstellen, die dann immer bei einen anderen E-Mail - Provider ist nach einiger Zeit etwas schwierig werden könnte.


Beitrag anzeigenZitat (RalphS: 22. Januar 2014 - 06:51)

2 - Sinnvolle Paßwörter. Mich kotzt es ehrlich gesagt an, immer darauf herumreiten zu müssen, aber solche Ergebnisse wie "'Passwort' nicht mehr häufigstes Paßwort -jetzt ist es '123456'" sagen mir, daß es einfach nicht in den Kopfen der Nutzer ankommt. ASDF ist übrigens ebenfalls kein gutes Paßwort!


Mit KeePassX/Firefox (mit Master-Passwort) ist das zum Glück kein großes Problem.


Beitrag anzeigenZitat (RalphS: 22. Januar 2014 - 06:51)

3 - Alles, was in IRGENDEINER Form mit Authentifizierung zu tun hat - im Klartext: immer dann, wenn man sich irgendwo anmeldet: Darauf achten, daß die Verbindung GESICHERT ist, also zB über https verschlüsselt ist.


Beitrag anzeigenZitat (RalphS: 22. Januar 2014 - 06:51)

4 - In Verbindung mit dem vorhergehenden Punkt sollte klar sein, daß Emails nur über verschlüsselte Verbindungen laufen DÜRFEN. Das sollte eine Selbstverständlichkeit sein.


Das funktioniert nur, wenn der jeweilige Anbieter das auch unterstützt. Man kann ja nichtmal dauerhaft E-Mails lokal zum Beispiel mit PGP verschlüsseln und absenden, da die Gegenseite darauf vorbereitet sein muss.


Beitrag anzeigenZitat (RalphS: 22. Januar 2014 - 06:51)

7 - Ein eigener Emailserver ist eine Sache für sich. Man KANN diesen sicherer gestalten als alle anderen verfügbaren Lösungen... wenn man weiß, wie, und wenn man auch die Zeit hat, diesen zu verwalten (set-and-forget ist damit NICHT drin). Das heißt im allgemeinen leider insbesondere, daß eigene Mailserver die mit Abstand GRÖßTE Sicherheitslücke darstellt. Mailserver zu konfigurieren mag noch relativ trivial sein. Die Absicherung ist aber alles andere, und die Einbindung ins Netz kommt auch noch dazu.
NB: Email funktioniert in der Praxis ohne DNS erst gar nicht - man landet mehr oder weniger sofort auf der Spam-Blacklist und dann kann man diese Mailkonfiguration komplett vergessen - womöglich sogar den kompletten Mailbetrieb, weil der IP-Adressraum gleich mit geblockt wurde; dann kriegt man einen HAUFEN Ärger mit dem Internet-Dienstanbieter.


Selbst wenn der eigene Mailserver korrekt abgesichert wurde hat man noch das Problem, dass das theoretisch alles nichts nützt, sobald der DNS-Anbieter gehackt wurde.


Beitrag anzeigenZitat (RalphS: 22. Januar 2014 - 06:51)

Und, wie gesagt, sich nicht blindlings im Internet ausbreiten und jeden Scheiß breittreten. Sicherheitsabfragen wie "Nagellackfarbe der Oma" sind keine Hürde, wenn das auf dem gleichnamigen Facebookprofil steht.


Vor einiger Zeit habe ich mir deswegen angewöhnt bei Sicherheitsabfragen keine plausiblen Antworten, sondern komplexe einzigartige Passwörter zu nehmen.

Dieser Beitrag wurde von Sworddragon bearbeitet: 22. Januar 2014 - 19:59

0

#4 Mitglied ist offline   Holger_N 

  • Gruppe: aktive Mitglieder
  • Beiträge: 5.111
  • Beigetreten: 11. September 10
  • Reputation: 458
  • Geschlecht:Männlich

geschrieben 22. Januar 2014 - 20:39

Beitrag anzeigenZitat (Sworddragon: 22. Januar 2014 - 05:26)

Vor kurzem wurde ja bekannt, dass etwa 16 Millionen E-Mail - Adressen kompromittiert wurden…


An der Stelle gehen meine Zweifel schon los. Was auch immer dieses Amt für einen Plan hat, warum soll man sich denn dort melden, wenn die doch alle betroffenen Mailadressen schon haben? Da können die doch allen bescheidschreiben.
Bauernregel: Regnets mächtig im April, passiert irgendwas, was sich auf April reimt.
0

#5 _d4rkn3ss4ev3r_

  • Gruppe: Gäste

geschrieben 22. Januar 2014 - 20:44

Das ganze ist eh etwas suspekt und ich gebe denen sicher nicht meine Mailadressen.
0

#6 Mitglied ist offline   Sturmovik 

  • Gruppe: aktive Mitglieder
  • Beiträge: 3.776
  • Beigetreten: 10. Januar 08
  • Reputation: 445
  • Geschlecht:unbekannt
  • Wohnort:In Reichweite der Kaffeemaschine
  • Interessen:IT, Luftfahrt, historische Technik

geschrieben 22. Januar 2014 - 21:22

@Holger: Die wollen halt wissen, welche der Adressen auf der jüngst zugekauften Adressliste überhaupt aktiv sind, um sie dann anderweitig zu nutzen :rolleyes:
«Geschichte wiederholt sich nicht, aber sie reimt sich» (Mark Twain)

Unix won't hold your hand. You wanna shoot your foot, Unix reliably delivers the shot.

True Cloudstorage
0

#7 Mitglied ist offline   sкavєи 

  • Gruppe: aktive Mitglieder
  • Beiträge: 6.735
  • Beigetreten: 20. Juli 04
  • Reputation: 62
  • Geschlecht:Männlich
  • Wohnort:Stralsund

geschrieben 22. Januar 2014 - 21:36

Die Lösung die du suchst sind Aliase. Einfach für jeden Dienst eine Alias-Adresse, welche kein echtes E-Mailkonto besitzt sondern nur auf eine zentrale Adresse umleitet. Das mache ich schon seit Jahren so. Im einfachsten Fall baut man sich ein Catchall-Konto, welches alle E-Mails für eine bestimmte Domain annimmt. So muss man die Aliase nichtmal konfigurieren und schaut einfach nur in das Postfach wenn man es braucht.

Besser noch (meine Lösung): Eine catchall-Adresse ([email protected]) und mehrere konfigurierte Aliase für wichtige Dienste ([email protected], [email protected], ...). So kommen bestimmte Mails zum Hauptkonto ([email protected]) durch, aber man kann ohne vorher ein spezielles Alias konfiguriert zu haben ganz schnell irgendeine E-Mail-Adresse bei einer Registrierung angeben. Die Bestätigungsmail landet dann halt im catchall-Postfach und man kann sie dort abholen. Wenn man dann später entscheidet, dass der Dienst wichtig ist, kann man immer noch ein Alias anlegen (und evtl. auch alte Mails in's Hauptkonto verschieben).

Das ganze packt man auf einen eigenen Mail-Server (am sinnvollsten ein eigener Root- oder V-Server, wenn man damit umgehen kann).
Um den äußerst unwahrscheinlichen Fall eines DNS-Hijackings zu umgehen, registriert man 2 Domains und verwaltet die bei unterschiedlichen Registraren. Die Hauptdomain setzt man dann als primären MX und die sekundäre halt als Fallback. Muss man sowieso machen, die Registrare erfordern meist 2 MX-Einträge mit unterschiedlicher Priorität.
Dazu dann regelmäßige DNS-Checks (so alle 30 Minuten oder so) mit einer Warnung, wenn sich der Eintrag ändert.

Was dann natürlich immer noch passieren kann ist, dass einem der eigene Mailserver gehackt wird. Aber deshalb ja auch der Hinweis, dass man damit umgehen können sollte. Denn wenn man das kann, dann sollte das auch nicht passieren.

Für ganz paranoide: Den gesamten IMAP-Zugriff nur per VPN zulassen.

Beitrag anzeigenZitat (Holger_N: 22. Januar 2014 - 20:39)

Da können die doch allen bescheidschreiben.
Oh ja. weil du eine E-Mail mit dem Betreff "Ihr Konto wurde gehackt" bestimmt durchliest, nicht wahr? :P

Dieser Beitrag wurde von sкavєи bearbeitet: 22. Januar 2014 - 21:39

Eingefügtes Bild
Eingefügtes Bild
0

#8 Mitglied ist offline   Holger_N 

  • Gruppe: aktive Mitglieder
  • Beiträge: 5.111
  • Beigetreten: 11. September 10
  • Reputation: 458
  • Geschlecht:Männlich

geschrieben 22. Januar 2014 - 21:55

Beitrag anzeigenZitat (sкavєи: 22. Januar 2014 - 21:36)

Oh ja. weil du eine E-Mail mit dem Betreff "Ihr Konto wurde gehackt" bestimmt durchliest, nicht wahr? :P


Nicht einfach so, aber wenn in der riesen Medienkampagne die ja nun so oder so stattfindet, ein entsprechender Hinweis für dieses Vorgehen gekommen wäre, dann wäre man ja vorbereitet gewesen und die hätten nicht alle wie bekloppt den Server gestürmt.
Bauernregel: Regnets mächtig im April, passiert irgendwas, was sich auf April reimt.
0

#9 Mitglied ist offline   sкavєи 

  • Gruppe: aktive Mitglieder
  • Beiträge: 6.735
  • Beigetreten: 20. Juli 04
  • Reputation: 62
  • Geschlecht:Männlich
  • Wohnort:Stralsund

geschrieben 22. Januar 2014 - 22:02

Und alle Spammer hätten sich das zunutze gemacht und Mails mit entsprechendem Betreff verschickt. Ich denke, das Vorgehen war so schon gut gewählt. Auch wenn die Ausführung im Nachhinein ein wenig fehlerhaft war.
Eingefügtes Bild
Eingefügtes Bild
0

#10 Mitglied ist offline   XiLeeN2004 

  • Gruppe: aktive Mitglieder
  • Beiträge: 580
  • Beigetreten: 16. Juni 04
  • Reputation: 50
  • Geschlecht:Männlich
  • Wohnort:Ahrensburg
  • Interessen:Aikidō (Godan), Schwimmen, Motorradfahren ('35er Indian Four, noch von meinem Vater), Dampfmodellbau, Kino

geschrieben 22. Januar 2014 - 22:05

Seitens des BSI wurde dieses Vorgehen dahingehend kommentiert, dass man so eventuellen Trittbrettfahren im Vorfeld begegnen will. Finde ich gar nicht so abwegig.

-Edit- Etwas OT, aber das hier finde ich an der ganzen Sache richtig erschreckend. Überfliegt mal die Kommentare... Und DAS sind sogar noch Nutzer, dis sich für die Thematik interessieren (sonst hätten sie kaum reagiert). Wenn das die allgemeine Kompetenz widerspiegelt, dann erscheint mir dieses Ausmaß kompromittierter Accounts nur als Spitze des Eisbergs

Dieser Beitrag wurde von XiLeeN2004 bearbeitet: 22. Januar 2014 - 22:18

Eingefügtes Bild
0

#11 Mitglied ist offline   Holger_N 

  • Gruppe: aktive Mitglieder
  • Beiträge: 5.111
  • Beigetreten: 11. September 10
  • Reputation: 458
  • Geschlecht:Männlich

geschrieben 22. Januar 2014 - 23:25

Beitrag anzeigenZitat (XiLeeN2004: 22. Januar 2014 - 22:05)

Seitens des BSI wurde dieses Vorgehen dahingehend kommentiert, dass man so eventuellen Trittbrettfahren im Vorfeld begegnen will. Finde ich gar nicht so abwegig.

-Edit- Etwas OT, aber das hier finde ich an der ganzen Sache richtig erschreckend. Überfliegt mal die Kommentare... Und DAS sind sogar noch Nutzer, dis sich für die Thematik interessieren (sonst hätten sie kaum reagiert). Wenn das die allgemeine Kompetenz widerspiegelt, dann erscheint mir dieses Ausmaß kompromittierter Accounts nur als Spitze des Eisbergs


Ich gehe ja auch davon aus, dass da nicht Anderes dahintersteckt, als dass dieses Amt da irgendeinen Ernstfall probt. Wie lange ist es her? War doch gerade erst eine Aktion gewesen, wo alle auf irgendso eine Seite gehen sollten und ihre Rechner "checken". Noch fünf solcher Aktionen, dann sind die Leute so weich in der Birne, dass die da mit nem USB-Stick hinfahren und sich ihren Bundestrojaner mit Installationsanleitung als PDF persönlich abholen.

Na und die Trittbrettfahrer kommen doch so oder so.
Bauernregel: Regnets mächtig im April, passiert irgendwas, was sich auf April reimt.
1

#12 _Sworddragon_

  • Gruppe: Gäste

geschrieben 23. Januar 2014 - 02:22

Beitrag anzeigenZitat (d4rkn3ss4ev3r: 22. Januar 2014 - 20:44)

Das ganze ist eh etwas suspekt und ich gebe denen sicher nicht meine Mailadressen.


Hätten die das halbwegs seriös gemacht, könnte man auch seine E-Mail - Adresse anhand eines Hashwertes prüfen.


Beitrag anzeigenZitat (sкavєи: 22. Januar 2014 - 21:36)

Die Lösung die du suchst sind Aliase. Einfach für jeden Dienst eine Alias-Adresse, welche kein echtes E-Mailkonto besitzt sondern nur auf eine zentrale Adresse umleitet. Das mache ich schon seit Jahren so. Im einfachsten Fall baut man sich ein Catchall-Konto, welches alle E-Mails für eine bestimmte Domain annimmt. So muss man die Aliase nichtmal konfigurieren und schaut einfach nur in das Postfach wenn man es braucht.


Sollte ein Angreifer mal Zugriff auf die E-Mail - Adresse bekommen, auf die alles weitergeleitet wird, beziehungsweise wird der E-Mail - Provider gehackt, dann hat man doch weiterhin das Problem, dass der Angreifer die verknüpften Konten meistens problemslos übernehmen kann. Oder übersehe ich gerade irgendwas?
0

#13 Mitglied ist offline   RalphS 

  • Gruppe: VIP Mitglieder
  • Beiträge: 8.895
  • Beigetreten: 20. Juli 07
  • Reputation: 1.126
  • Geschlecht:Männlich
  • Wohnort:Zuhause
  • Interessen:Ja

geschrieben 23. Januar 2014 - 03:33

Beitrag anzeigenZitat (Sworddragon: 22. Januar 2014 - 19:58)

Allerdings kann man damit auch nicht verhindern, dass ein bestimmter Dienst im Internet eine verifizierte E-Mail möchte, womit dieses Problem in diesem Fall dann möglicherweise dauerhaft besteht.

Soviel muß immer klar sein: VERHINDERN geht gar nicht. Man kann Risiken minimieren, Angriffsflächen verkleinern und auch sonst dafür sorgen, daß die Kommunikation nachvollziehbar bleibt.

Das ist allerdings auch schon alles. Wenn es wer darauf wirklich anlegt, dann kommt er da auch ran; unsere Aufgabe als Nutzer ist es daher, dieses Unterfangen für die Gegenseite so schwierig wie möglich zu gestalten (und nicht, wie angedeutet, beim eigenen Kompromittieren auch noch mitzuhelfen).

Zitat

Wobei für jedes Konto eine eigene E-Mail - Adresse zu erstellen, die dann immer bei einen anderen E-Mail - Provider ist nach einiger Zeit etwas schwierig werden könnte.

Sicherlich richtig. Es geht allerdings zunächst um die Isolation der Daten voneinander. Sonst könnte man ja sämtliche Konten bei einem Anbieter überhaupt nicht mehr differenzieren.

Klar, anders sieht es natürlich aus, wenn sich wer Zugriff aufs Mailkonto verschafft. Dagegen muß man natürlich, soweit es möglich ist, Maßnahmen ergreifen.


Zitat

Mit KeePassX/Firefox (mit Master-Passwort) ist das zum Glück kein großes Problem.

Mh, für mich und Dich und noch ein ganz paar andere hier mag das sicherlich richtig sein; aber wie unschwer zu erkennen ist, sind wir leider NICHT repräsentativ. Der gemeine User beschwert sich doch schon darüber, ein Windowskennwort eingeben zu müssen, richtet als allererstes ein Autologin fürs Adminkonto ein und wundert sich dann, warum der Rechner langsamer und langsamer wird (Virenscanner würden anschlagen, wenn es denn welche gäbe).

Es ist nicht davon auszugehen, daß jemand mit einer solchen Mentalität im Netz selbst größeren Wert auf Sicherheit legt.


Zitat

Das funktioniert nur, wenn der jeweilige Anbieter das auch unterstützt. Man kann ja nichtmal dauerhaft E-Mails lokal zum Beispiel mit PGP verschlüsseln und absenden, da die Gegenseite darauf vorbereitet sein muss.


Sicherheit, oder Komfort? :)

Wenn der jeweilige Anbieter das NICHT unterstützt, sollte man sich fragen, warum man bei dem Anbieter sein Konto immer noch hat.

PGP ist sicherlich eine Alternative, nützt dann aber nur etwas, wenn nur und ausschließlich mit PGP gearbeitet wird. PGP ist gut und schön, aber leider noch viel zu wenig verbreitet, um eine echte Alternative zu sein - ein zentrales Problem ist, daß man auch mit PGP jegliche Kommunikation, welche NICHT zumindest signiert wurde, ungelesen und unbeachtet in den Papierkorb verschieben müßte - sonst bringt PGP nichts --- nur tut das niemand.

Wie gesagt. Sicherheit vs. Komfort. Das ist bei PGP ganz besonders offensichtlich.

Zitat

Selbst wenn der eigene Mailserver korrekt abgesichert wurde hat man noch das Problem, dass das theoretisch alles nichts nützt, sobald der DNS-Anbieter gehackt wurde.


Erm, es gibt keine DNS-Anbieter. Was natürlich nicht heißt, daß keiner ins DNS eingreifen kann - passiert ja oft genug ---- aber, damit haben wir als Nutzer nichts mehr zu tun, das obliegt anderen. Ebenso wie die Frage, ob Geheimdienste an den Netzknoten lauschen oder nicht: darauf haben wir keinen Einfluß, da MÜSSEN wir uns darauf verlassen, daß alles so klappt wie es soll.

Und zusätzliche Verschlüsselungstechniken wie PGP einsetzen (SSL reicht da nicht).

Dieser Beitrag wurde von RalphS bearbeitet: 23. Januar 2014 - 03:36

"If you give a man a fish he is hungry again in an hour. If you teach him to catch a fish you do him a good turn."-- Anne Isabella Thackeray Ritchie

Eingefügtes Bild
Eingefügtes Bild
0

#14 Mitglied ist offline   sкavєи 

  • Gruppe: aktive Mitglieder
  • Beiträge: 6.735
  • Beigetreten: 20. Juli 04
  • Reputation: 62
  • Geschlecht:Männlich
  • Wohnort:Stralsund

geschrieben 23. Januar 2014 - 14:02

Beitrag anzeigenZitat (Sworddragon: 23. Januar 2014 - 02:22)

Sollte ein Angreifer mal Zugriff auf die E-Mail - Adresse bekommen, auf die alles weitergeleitet wird, beziehungsweise wird der E-Mail - Provider gehackt, dann hat man doch weiterhin das Problem, dass der Angreifer die verknüpften Konten meistens problemslos übernehmen kann. Oder übersehe ich gerade irgendwas?
Deshalb verwendet man dieses Postfach ja auch nicht für irgendwas anderes. Und in meinem Fall bin ich mein eigener Provider. Und wenn mein Mailserver gehackt wird habe ich Mist gebaut. Daher sorge ich dafür, dass dieser Fall nicht eintritt.
Alternativ kann man auch den Login nur per Zertifikat zulassen. Wobei das wieder zum Problem werden könnte, da zertifikatsbasierte Authentifizierung auch nicht wirklich sicher ist. Da verwende ich lieber Passwörter. Oder halt beides.

Und wie gesagt:

Zitat

Für ganz paranoide: Den gesamten IMAP-Zugriff nur per VPN zulassen.
Erst das VPN knacken um dann ein E-Mail-Konto zu knacken, dessen Adresse unbekannt ist? ... Äußerst unwahrscheinlich.

Und ansonsten für absolute Paranoia:
IMAP abschalten und Mails per SSH direkt auf dem Server lesen. SSH-Zugriff nur per Keyfile und SSH nur durch ein VPN erlauben. Und das VPN nur von bestimmten Hosts erlauben. Letzteres geht aber nur mit fixen IP-Adressen. Aber da kommt so schnell keiner durch.

Natürlich wird es irgendwann unkomfortabel, aber so ist das nun mal. Irgendwann muss man Abstriche machen. Ich finde meine Lösung extrem komfortabel und die Sicherheit ist in meinem Augen auch gegeben (spätestens mit der VPN-Lösung).

Beitrag anzeigenZitat (RalphS: 23. Januar 2014 - 03:33)

Erm, es gibt keine DNS-Anbieter.
Ich denke es sind die Registrare gemeint.

P.S.: bzgl. Angriffsfläche minimieren. Der Aufwand in meinen privaten Mail-Server einzubrechen, wiegt den Wert der gewonnen Daten für den Einbrecher nicht auf. Da bieten große Anbieter mit (1000+ Nutzern) viel mehr Angriffsfläche.

Dieser Beitrag wurde von sкavєи bearbeitet: 23. Januar 2014 - 14:08

Eingefügtes Bild
Eingefügtes Bild
0

#15 Mitglied ist offline   LoD14 

  • Gruppe: aktive Mitglieder
  • Beiträge: 5.931
  • Beigetreten: 04. Mai 03
  • Reputation: 45
  • Wohnort:Hennef bei Köln

geschrieben 23. Januar 2014 - 15:16

Zitat

Das ist die Ausgangsposition und vermutlich die weitverbreiteste Variante. Die E-Mail - Adresse kann auf 2 Wege kompromittiert werden:

Durch ein (in)direktes Eigenverschulden, indem man sich zum Beispiel einen Trojaner eingefangen hat, der die Passwörter mitloggt.
Wenn der E-Mail - Provider gehackt wird.

Sorry, aber das halte ich für relativ unsinnig. Welcher eMail Provider speichert bitte die Nutzerpasswörter im Klartext irgendwo in ner Datenbank? Hoffentlich nirgends einer. Alle großen haben nur die Hashes, mit denen kann ein Hacker nichts anfangen. Ich denke, in 99% der Fälle wird es erstes gewesen sein, dass der Fehler vor dem Bildschirm saß.
0

Thema verteilen:


  • 3 Seiten +
  • 1
  • 2
  • 3

1 Besucher lesen dieses Thema
Mitglieder: 0, Gäste: 1, unsichtbare Mitglieder: 0