Path: csiph.com!fu-berlin.de!uni-berlin.de!individual.net!not-for-mail From: Hanno Foest Newsgroups: de.sci.electronics Subject: Re: cross post: CONRAD macht in Braunschweig zu Date: Sun, 4 Jun 2017 01:54:04 +0200 Lines: 66 Message-ID: References: <54o8vd-ob7.ln1@hergen.dyndns.org> <16af3e21-601d-2a9a-3a7e-d1a751c5f113@arnowelzel.de> <943ad196-169a-0182-fb3e-57eff0c45aec@arnowelzel.de> <1vu67qq2relr$.uthj3qgtz3f6.dlg@40tude.net> <142kf1p8mehld.1wrnqcpx9nef2.dlg@40tude.net> Mime-Version: 1.0 Content-Type: text/plain; charset=utf-8; format=flowed Content-Transfer-Encoding: 8bit X-Trace: individual.net ZQeWrTk/1HXhWcugbn9r5goWHa8ppTl4fFLWWHtRBm85JoWjxH Cancel-Lock: sha1:1IOxkJQ8KKXbdcRjlJV5p4Ubohk= User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:52.0) Gecko/20100101 Thunderbird/52.1.1 In-Reply-To: Content-Language: de-DE-1901 Xref: csiph.com de.sci.electronics:228383 Am 03.06.2017 um 20:56 schrieb Joerg: >>> Ich weiss noch, wie hier einige toenten, ein Virenbefall unter Linux >>> geschehe nicht. Und dann ... >> >> Irgendwelche 10 Jahre ungewartete und fehlkonfigurierte Embedded-Grütze >> als "Linux" zu bezeichnen ist eher gewagt. > > Das kommt nicht von mir. Das ist wurscht von wem das kommt. Wenn jemand irgendwo ein embedded Windows reinschraubt und bei den Passwörtern pfuscht, würde ich das auch nicht als Windows-Bug einstufen. >> Alles, was beliebige Eingaben vom Rest der Welt zuläßt, ist >> programmiertechnisch höchst kritisch. Man kann es richtig machen, klar. >> Aber es richtig zu machen ist halt nicht einfach. > > Die laengste Chose, an der ich mitarbeite, ist jetzt rund fuenf Jahre im > Einsatz, tausende Sites. Null Probleme in Sachen unerlaubter > Fremdeingriffe. Wenn die Eindringlinge gut waren, merkt man das auch nicht :) Das Problem ist auch daß man erst weiß, ob etwas unsicher ist, wenn es jemand aufgemacht hat. Die Leute kommen Jahre und Jahrzehnte mit grotesken Fehlkonfigurationen davon. Ich erinnere mich noch gut an den minutenlangen Film, den jemand aus Einzelbildern von Screenshots aller passwortlosen VNC-Installationen gemacht hatte, die er bei einem Scan des Internet gefunden hatte... >>> Zumal gescheite Systeme bei x-ten Log-in Versuch in Folge mit falschen >>> Zugangsdaten dichtmachen und danach eine Extradosis an >>> Authentifizierung erfordern (bei einer Zentrale anrufen und so weiter). >> >> Dämliche Systeme, meinst du. Das ist sofortiger denial-of-service durch >> das erste Spielkind, das über so ein System stolpert und sich dann in 10 >> Minuten ein Skript schreibt, das einmal das Internet abklappert und alle >> derartigen Systeme durch die geeignete Menge von Fehleingaben in die >> Abrieglung treibt. >> >> Sowas kann man vielleicht im Einzelfall machen, also wenn es nicht eine >> größere Menge gleichartiger Systeme gibt, die im obigen Sinne ein >> lohnendes Ziel ergeben. Oder man konfiguriert die Abriegelung mit einem >> Timeout - was den Nachteil hat, daß Botnetze mit vielen IPs dennoch eine >> große Menge Versuche bekommen. Oder man konfiguriert gleich einen >> IP-Filter - dann kann man aber nicht mehr von überall ran. > > So einfach ist das nicht. Wenn nicht der richtige Code als Praeambel > kommt, reagiert das System ueberhaupt nicht. Es sieht die Anfrage gar > nicht. Das ist dann auch kein Login-Versuch. > Fieserweise aendert sich dieser Code und nur "legit devices" > wissen, wie. Klingt nach seltsamem Obskurantismus mit seinen eigenen Tücken. Z.B. Bug in diesem Code und du kommst selber nicht mehr rein. - Nee, bei sowas nimmt man z.B. RSA Keys zur Authentifizierung und dann ist völlig egal, wer alles wie oft probiert. Einfach ignorieren, man sperrt sich dabei nicht aus und es ist trotzdem sicher. ssh mit Key-Authentifizierung hat beliebig gut getesteten Code für sowas, da ist es recht unwahrscheinlich, das besser hinzubekommen. Hanno