[TYPO3-german] Sicherheitslücke aufspüren

[LUCOMP mediale kommunikation & internetDesign Bernhard Ludwig]

> -----Ursprüngliche Nachricht-----
> Von: typo3-german-bounces at lists.typo3.org [mailto:typo3-german-
> bounces at lists.typo3.org] Im Auftrag von Georg Ringer
> Gesendet: Dienstag, 18. Juni 2013 11:52
> An: typo3-german at lists.typo3.org
> Betreff: Re: [TYPO3-german] Sicherheitslücke aufspüren
> 
> Hallo,
> 
> Am 18.06.2013 11:49, schrieb LUCOMP mediale kommunikation &
> > was Du nicht ausschließen kannst ist, dass der Kunde auf seinem
> Rechner einem Trojaner Raum gewährt, der gemütlich die FTP-Daten aus
> Programmen wie z.B. Filezilla ausliest und nach Hause schickt. Viele
> FTP-Programme speichern die Zugangsdaten unverschlüsselt ab. Frag mal
> bei Deinem Kunden nach, ob er auch die Passwörter im FTP-Programm
> abspeichert, dann hast Du hierüber einen Anhaltspunkt, wie es geschehen
> konnte.
> 
> 
> es ist komplett egal ob das abgespeichert wird oder nicht. das password
> wird ohnedies im klartext übertragen
> 
> georg

Hallo Georg,

das ist nicht richtig. 
Es ist kaum anzunehmen, dass die FTP-Session ausgespäht wird, da müsste der Trojaner den gesamten Traffic überwachen, was aus Perfomancegründen nicht gemacht wird, da würde man schnell entdecken, dass am Rechner etwas nicht stimmt. 

In den bekannten Fällen wurde immer die Datei, die die Zugangsdaten enthält an den Trojanerhost übermittelt. Eindeutige Beschreibungen dieser Vorgehensweise finden sich zu Hauf bei einer einfachen Googlesuche.

Außerdem sollte man in der Lage sein per SFTP auf seinen Server zuzugreifen, dann werden in der Session auch die Zugangsdaten verschlüsselt. Allerdings betrifft das nicht die Datei, die die Zugangsdaten vorhält. 

!!!Also, prinzipiell keine Zugangspasswörter in der Zugangssoftware speichern!!!

Sogar WinSCP rät von der lokalen Speicherung der Passwörter aus besagten Gründen ab. Wenigstens eine Software, wo das Problem schon lange erkannt und kommuniziert wurde.

Erklärend möchte ich hinzufügen, dass eine verschlüsselte Speicherung der Passwörter auch nicht viel nützen würde, da diese, wenn sie einmal an den Schädiger übermittelt wurden, recht schnell entschlüsselt werden könnten.

Viele Grüße,
Bernhard Ludwig