Um schreiben oder kommentieren zu können, musst du dich anmelden.
Du hast schon ein Benutzerkonto? Melde dich hier an.
Jetzt anmeldenEin Nutzerkonto wird beim Registrieren im
Tutorial auf dem Minecraft-Server für dich erstellt.
Ich muss sagen die letzten Beiträge hier sind so schön geschrieben, aufwendig recherchiert und fundiert vom Wissen das es fast Schade ist das Thema komplett zu löschen. Könnte man nicht den Thread sperren und stark ausmisten/Personen anonymisieren, immerhin steht hier auch viel wertvolles wo einige Schreiber sicherlich viel Zeit in ihre Beiträge investiert haben?
Serversicherheit, Pflichten und Konsequenzen sind für TerraConia nicht gerade völlig fremde Themen 
Seitens Terraconia werden alle Namen anonymisiert, wenn diese im Profil nicht ausgewählt haben, dass diese Daten an Veteka weiter geleitet werden sollen.
Das klingt doch gut 
Ob die Art der Anonymisierung zu Randzeiten sicher funktioniert müsste man prüfen, ich weiß nicht ob ein Zeitstempel mitgesendet wird und falls, wie präzise dieser ist. Vom Gefühl her würde ich sagen das man diese anonymisierten Daten nur als "Bulk" zur Verfügung stellen sollte und ein Bulk mehrere Käufe beinhalten sollte, um sicher sein zu können das die Anonymisierung nicht aufgehoben werden kann. Die "Online-Liste" inkl. Lokalisierung des Spielers ist ja frei abrufbar.
Ein berühmter Fall in der Wissenschaft dazu ist z.B. ein Datensatz von netflix, dessen Anonymisierung sich leichter aufheben lies wie den meisten Recht war
https://courses.csail.mit.edu/…Katchoff-Zeng-Netflix.pdf
Als ich geschrieben habe, dass keiner gezwungen wird seine Daten weiter zu geben, war das ernst und ehrlich gemeint.
Da alle Daten aller Nutzer gesendet wurden, auch jener die nicht zugestimmt haben (allerdings korrekt in anonymisierter Form), sollte man halt bei jeder Funktion immer genau hinschauen und das ganze lieber doppelt hinterfragen. Lieber einmal zu viel vorsicht walten lassen wie zu wenig.
MeeriSchatz vielen Dank für die Aufklärung Was mir nur einfällt was wichtig für euch ist, ist, wie oben erwähnt, die Unterscheidung zwischen nicht anonymisiert, pseudonymisiert und anonymisiert Daten. Wäre toll wenn noch einer Schreiben könnte, wie genau die Daten aussahen die über die Schnittstelle gingen, ich konnte nirgends was dazu finden, ist aber jetzt nicht dringend da die Schnittstelle erst mal tot ist. Wenn ihr den Text unter dem Häckchen noch mit einer Erklärung verlinkt, sollte das auch rechtlich sauber sein.
00Moritz, wir stehen ja im Kontakt per PN.
Als ich geschrieben habe, dass keiner gezwungen wird seine Daten weiter zu geben, war das ernst und ehrlich gemeint.
Die prinzipielle Idee, soweit ich das im Zusammenhang mit dem Server überblicken kann, finde ich gar nicht mal schlecht und eher interessant, so eine Marktanalyse durchzuführen: Eine Art "Preischart" für Items. Ohne diese Daten geht es halt nicht. Und zu sagen "wer das nutzt hat Pech" ist halt unausgeglichen, nicht jeder liest vermutlich hier alles und ist über alles im Bilde. 33 Leute nutzen es und wissen vielleicht nichts von den Problemen (34 laut Website, hab mich mal rausgerechnet). Und wenn man so etwas anbietet, dann halt richtig oder gar nicht (Das entfernen bzw. sperren der API bis zur Behebung der Probleme war ja auch ein Vorschlag der hier öfters genannt wurde).
Was ich aber auch nicht weiß: Wie sehen die Daten aus? Sind diese anonymisiert? pseudonymisiert? Oder wird da 1:1 durchgeben "Wollbert hat 1 Eimer für 2 Eskone bei XY gekauft". Muss XY auch zugestimmt haben oder wird das immer durchgegeben? Oder einfach nur "es wurde gerade 1 Eimer für 2 Eskonen verkauft"?
Edit: Ein Nickname zählt schon zu den personenbezogenen Daten:
Also, personenbezogene Daten sind:
- Name und Geburtsdatum [...]
- [...]
- Online-Kennung: IP Adresse (in Zusammenhang mit weiteren Daten wie z.B. einem Onlinekauf), eMail Adressen, aber auch Nicknames, Twitterhandles, Spielernamen, etc. machen eine Person identifizierbar -> personenbezogen
Ich persönlich finde eine Diskussion über VETEKA hier, in dem Thread "Diskussion über Zensur und Sicherheit bei abhängigen Webangeboten Dritter" eher unpassend.
Bereits in der Vorstellung von VETEKA habe ich geschrieben, dass bekannte Sicherheitslücken und Probleme in dem Startpost genannt werden sollten.
Würde ich ebenfalls als sinnvolle und angebrachte Maßnahme sehen, sind ja noch einige mehr der Meinung
Es wird keiner gezwungen seine Daten weiter zu geben.
So funktioniert halt leider Datenschutz nicht . Wenn der Warnhinweis da wäre und das Kästchen mit einer Datenschutzerklärung verknüpft wäre, würde ich die Recht geben. Aktuell ist nicht ersichtlich wer (Anschrift, vlt Link auf den Vorstellungsthread/Impressum) Zugriff auf welche Daten (Datenschutzerklärung, Verlinkung auf der Website? Wobei die Anschrift bei AnderCrafter schon mal Fake ist) bekommt, wenn man das Häkchen setzt. Dann noch einen Warnhinweis zu Sicherheitsbedenken im Vorstellungsthread und TerraConia hat - sofern sie die API nicht abschalten wollen - angemessen gehandelt. Jeder nicht technisch-affine Nutzer sollte dann einschätzen können was im Hintergrund passiert.
Und das als Standard für alle Projekte die die API nutzen und gut ist 
Wie man dann mit offensichtlichen Fake Angaben umgeht ist wieder eine andere Geschichte.
ich hoffe einfach mal, keiner von euch hat ne Hütte in dem Netzbereich stehen
Leider doch... 
dadurch einsichtiger wird und das System abschaltet bzw. ordentlich neu aufsetzt
Wie erwähnt folgendes Szenario: "keine Daten ohne neu aufsetzten und jemand schaut drauf". Da er ja seinen Dienst wichtig findet, lenkt er dann vielleicht ein. Server wird gesichert, Gefahr gebannt, alle sind glücklich. Anders geht es wohl nicht, da stimm ich dir zu alleine passiert nix bis sich Polizei/Abmahnanwalt/netcup meldet.
Nur bezüglich DSGVO und der Haftung von TerraConia bin ich mir nicht sicher, im Grunde macht AndyCrafter ein Auftragsverarbeitung für TerraConia die von TerraConia geduldet und eingerichtet wurde (API), nicht das er das Projekt hier rechtlich mit reinzieht. In-Game Käufe und Handel kann wohl auch strenge Auflagen erfordern (besonders bei minderjährigen Spielern), wobei das nur eine ganz kurze und teils widersprüchliche Recherche war. Nur so als Hinweis. Natürlich ist es extrem unwahrscheinlich das was passiert, dafür kann der Schaden groß sein.
Edit:
Dass das Impressum vermutlich nicht zu 100% der Wahrheit entspricht ist, ist ebenfalls nichts neues.
Das Impressum und die Datenschutzerklärung sind definitiv Fake
# Adressangabe
Ich glaube kaum, dass er da wohnt, damit ein klarer Verstoß
Edit 15:54 Uhr: Entfernung der Adressangabe - MeeriSchatz
Ich finde es komisch Wollbert, dass du erst seit gestern hier bist, nicht Mal 15 Spielminuten hast, dann dich mit einem solchen Thema außenandersetzt und so viel über den Server von @Andercrafter weißt. Das ergibt für mich einfach keinen Sinn.
Ich komme aus einem anderen Forum, in dem AnderCrafter seit Tagen seinen unsicheren Server "vorgestellt" hat und extrem uneinsichtig war was dessen Sicherheit anging. Der Server wurde mehrfach geknackt, es gab eklatante Sicherheitslücken, die MySQL-DB wurde kopiert, SQL-Injections durchgeführt. Beruflich bin ich im Themenfeld IT-Security unterwegs und auch Kunde des Hosters, bei dem AnderCrafter seinen Server betreibt. Leider bin ich "IP-Nachbar", was heißt das sobald sein Server auf Blacklisten (z.B. von Microsoft) steht, wird meist der rundum schlag gemacht und ganze IP-Bereiche gesperrt, was heißt das ich meine Dienste auf allen Blacklisten händisch entsperren muss was Stunden dauert. Super nerviges Verhalten der großen Anbieter, aber es lässt sich nix ändern. Daher ist, auch wenn ich kein direkter Nutzer bin, AnderCrafter auch eine "Gefahr" für mich und nicht nur "euch". AnderCrafter selbst sieht halt überhaupt keinerlei Gefahr, vielleicht wenn von seiner Clout Torrent Aktion noch ein Brief von einem Abmahnanwalt kommt, oder schlimmeres passiert, aber das muss ja nicht sein.
https://forum.netcup.de/netcup…r-langsamer-als-angegeben
WhoAmI0501 hat auf diesen Thread dann aufmerksam gemacht, falls man die Sache weiter verfolgen will
https://forum.netcup.de/sonsti…A4ngste-thema/#post122892
Edit2: persönliche Angriffe gegenüber mir und meiner Motivation lösen auch nicht die Sicherheitsprobleme hier, ihr wirft mir vor das bei AnderCrafter zu tun, aber tut es bei mir. Könntet auch einfach Fragen "Woher hast du die Motivation das Tutorial durchzuspielen, nur um hier zu Fragen/Hinweisen/(von mir aus) Flamen"
Und nur weil man Sicherheitslücken anprangert Stellt man keinen bloß. Man darf und muss Fehler ansprechen. Das bloßstellen hat AnderCrafter selbst durch seine Reaktion darauf getan. Es kam bist heute kein "sorry, das war ein Fehler, ich werde das jetzt fixen" oder sonstiges. Sondern als Melder von Sicherheitslücken wird man: a) von ihm angemotzt und b) wird alles einfach runtergespielt. Damit deklassiert sich AnderCrafter einfach selbst, ohne mein zutun. Und ja, mein Ton war manchmal etwas forsch, aber den Weg von einer sachlichen Diskussion zu einer forschen bin ich nicht gegangen, sondern nur AnderCrafter gefolgt. Wie es reinschallt, schallt es raus, irgendwann reicht es mir auch mal 
Edit:
Ich möchte hier noch einmal Kritik an beiden Seiten ausüben, da hier sowohl durch einige Personen ein öffentliches Bloßstellen von AnderCrafterYT angestrebt wird
Wie es reinschallt, schallt es raus. Im anderen Forum wurde ihm alles sachlich dargelegt, ich hatte dort eine sachliche private Konversation vor etwa eine Woche. Nur es passiert halt nichts, im Gegenteil der Sicherheitsstandard wurde in der Zeit immer schlechter (z.B. öffentlich erreichbares Cloud Torrent), dann muss man irgendwann eskalieren, damit mal endlich was passiert. Zuschauen bringt halt nix, bis das Ding für KiPo genutzt wird und die Polizei anklopft. Und wie man sieht war die Eskalation mit Erfolg gekrönt, es passiert jetzt - nach Wochen - endlich was öffentlich sichtbares. Gestern vor Intervention des Teams war AnderCrafter noch der Ansicht das alles in Ordnung ist und es nur "Kleinigkeiten" sind:
ZitatDie schlimmsten habe ich gefixt, ich sehe weiterhin ein geringes Risiko, das kann meiner meinung nach auch bis nach dem Urlaub warten
Es gibt folgende zwei (und natürlich noch ein paar mehr ) goldene Regeln der IT-Sicherheit:
Erstem stimmt mir jeder, bis auf AnderCrafter zu (und es ist ja nicht das einzige Problem). Bei zweiterem habt "ihr", das Team kaum Einfluss, außer den Datenzugriff zu sperren. Da ich bei AnderCrafter keinen Druck machen konnte, bliebt nur noch ihr über. Seine Argumente in allen Chats waren immer "meine Dienste sind so wichtig, die dürfen nicht mal 10min offline sein, daher kann ich den Server nicht neu aufsetzten". Daher hilft dagegen bestimmt eine Kappung der Daten.
Ein Server ist halt kein Kinderspielzeug, mit dem Ding kann man - worst case - auch im Knast landen (KiPo Verbreitung) oder zehntausende Euro Schaden anrichten, die man zahlen muss. Ihr kennt die Lücken, ihr wisst das AnderCrafter es nicht sieht/sehen will, also sollte man ihn nicht gewähren lassen. Es wäre doch in eurem Interesse das "Teammitglied" vor sich selbst zu schützen. Für den Betrieb des Servers sollte man glaub übrigens 18 sein, irgendwie hab ich das Gefühl, so vom Impressum her, dass das ganze über seinen Vater läuft der davon nicht viel weiß 
Edit3: woher der Verdacht kommt: aus dem anderen Forum weiß ich das sein "Nutzername" auf dem Server Moritz ist, im Impressum ist aber ein Heiko angegeben
Trotz meiner Klausur morgen früh
Dir viel Glück morgen früh!
dass wir an dem Thema dran sind.
Die kommenden Tage werden wir uns als Administration/Projektleitung dazu noch einmal äußern, aber nicht heute abend.
Das ist doch das, was man hören will und warum ich so nervig war, pardon, aber nach außen war halt nichts ersichtlich und die private (und hier öffentliche) Kommunikation von AnderCrafter lies vermuten das er das okay von euch hatte 
neben diesem Projekt auch noch ein Privatleben haben, Arbeiten/Studieren müssen und nicht 24 Stunden Zeit für ein Hobbyprojekt haben, scheinst du ja total zu vergessen.
Lieder entbindet ein Hobby nicht von den Pflichten und der Verantwortung. Als Hobby einen Server betreiben macht genauso viel Arbeit in Sachen Sicherheit wie wenn man das Ding "kommerziell" betreibt, gut bei den Backups kann man einen Gang zurückschalten vielleicht. Genauso der Datenschutz, ob ich einen Blog privat oder gewerblich betreibe macht leider keinerlei Unterschied was das angeht. Hat mein privater Hobby Blog ohne Werbung einen Databreach oder leitet Daten an nicht vertrauenswürdige Server aus, muss ich genauso handeln wie als kommerzieller Anbieter (Nutzer informieren etc.).
Natürlich gibt es einen Unterschied vom zeitlichen Umfang, nur leider sind die Pflichten und Bürden die gleichen, was die Sache verständlicherweise schwierig macht. Gerade wegen der Zeit wäre doch für euch Stecker temporär ziehen am einfachsten, aber gut sind eure Nutzer, sie vertrauen euch... ist dann euer Ding...
Dann würde mich interessieren ob ihr in Zukunft vorhabt eine Richtlinie umzusetzen, an wen ihr Daten liefern wollt? Oder darf jeder "Hinz und Kunz" kommen und bekommt Zugriff auf Handelsdaten, sofern Nutzer nur ein Häkchen im Profil setzen?
Wollt ihr in Zukunft, bei Bekanntwerden eklatanter Sicherheitsprobleme, eine solche Zusammenarbeit fortsetzten? Harte Fristen setzten?
Ich bin ehrlich gesagt etwas schockiert, hier sind ja fähige Leute am Werk die sich im administrieren und programmieren auskennen. Das hier solches Verhalten toleriert wird und munter weiter Daten geliefert werden (ohne die Nutzer zu warnen) schockiert mich ehrlich gesagt etwas 
Die schlimmsten habe ich gefixt, ich sehe weiterhin ein geringes Risiko, das kann meiner meinung nach auch bis nach dem Urlaub warten
Du hattest einen SSH-Breach, die komplette Maschine ist quasi als kompromittiert anzusehen 
Nur da der TO das nicht einsehen will, muss halt von andere Seite aus gehandelt werden. Niemand bei Verstand sollte irgendwelche Daten an ein solches System liefern.
Jemand Fremdes hatte komplettem Zugriff auf deine System, alles kann passiert sein, er könnte Backdoors installiert haben, Daten ausleiten, was auch immer... und du lässt es einfach weiter laufen. Monitoren hilft nichts, oder hast du die Integrität jedes Binaries über ein externes System überprüft? Das geringe Risiko siehst du Mangels Erfahrung, auf erfahrene Hasen willst du aber nicht hören.
Die schlimmsten habe ich gefixt
Dein Code war absolut unstrukturiert und hatte haarsträubende Fehler, du hast teilweise GET-Parameter direkt in den SQL-String eingebaut, ohne alles. Einen Schutz für XSS oder ähnliches seh ich nicht. SQL-Injections gehen auf mindestens einer Seite noch Du kannst mir (und vermutlich den anderen) nicht glaubhaft machen, dass du innerhalb von 5 Minuten dein Wissen von "ich kann gerade so php coden" zu "ich schreibe sicheren Code" erweitert hast. Allgemein hattest du im alten Code noch nicht mal str_replace richtig benutzt... und jetzt soll der Code sicher sein? Dann poste ihn doch mal auf Github, machen wir ein Security Audit
hier mal die einfachste möglichkeit nach möglichkeiten zu suchen
Nein, damit findest du normalerweise keine SQL-Injection und dies ist auch nicht im Ansatz eine probate suche dafür. Du hast bei dir damit nur eine gefunden weil dein Code damit übersäht ist
Natürlich, ich habe mich aber aufgrund der Empfehlungen dazu entschieden das Repo Privat zu machen.
Aber vermutlich nicht aus Sicherheitsgründen oder sonst was, sondern nur weil es - pardon - einfach peinlich ist wenn solcher Code mit dem eigenen Namen verknüpft ist.
Aber immer noch keine Einsicht, der Server läuft noch immer, die Sicherhietslücken sind da, nichts passiert, AnderCrafter schreibt nur und handelt nicht... ohne zutun durch das Team (z.B. abschalten der Daten) wird sich daran nix ändern
Sind sie, das siehst du nur nicht weil der Sourcecode (auf die Anweisung der Netcup-Forumsmitglieder nebenbei) nicht mehr öffentlich ist.
"Security through obscurity" funktioniert nicht Projekte die wirklich sicher sind können ihren Quellcode veröffentlichen. Davon ab verhält sich Code der öffentlich bekannt ist genau wie welcher der nicht öffentlich bekannt ist, dadurch lösen sich keine Sicherheitsprobleme.
Meiner Meinung nicht nur, zensieren tu ich nur für die allgemeinheit nicht zielführende Informationen, meinetwegen können sicherheitslücken ohne einzelheiten wie man sie ausnutzt in den Thread kommen aber nicht in herabwürdigender form
Wie es in den Wald reinschalt, so schalt es raus Und bei vielen Lücken ist die Ausnutzung klar, jeder mit halbwegs Ahnung findet in 5min die SQL-Injections in deinem Code. Stattdessen wäre es schön von dir zu hören: sorry, ich schalte den Server erst Mal ab und fixe alles nächste Woche, den Code lasse ich von xy neu schreiben damit die Lücken erst Mal geschlossen sind.
Edit: um auf SQL-Injections zu testen braucht man keinen Code
Achso man kann nicht antworten wenn man die letzte Antwort verfasst hat, gut zu wissen.
Das Problem ist auch das wir dir im anderen Forum schon seit Tagen die Fehler mehrfach auflisten inklusive was dringendes zu tun ist (Server neu aufspielen oder abschalten. JETZT! Weil SSH-Breach!). Nur leider passiert nix oder es kommt Unverständnis von dir oder sowas wie "mach ich... später irgendwann". Nur dies ist, wie mehrfach von erfahrenen Administratoren erwähnt, nicht zielführend. Entweder man macht es richtig oder gar nicht, bei Sicherheit gibt es kein dazwischen wenn einem die Nutzer wichtig sind
Daher sollte hier von dem Forum Druck aufgebaut werden, immerhin vertrauen die Leute dir hier die Daten ihrer Nutzer an und du kümmerst dich - Pardon - einen Dreck darum. Alles andere fruchtet bei dir ja leider nicht Vielleicht muss man dir den Datenhahn Mal abdrehen damit du den Ernst der Lage verstehst.
Und wenn ich mir den Quellcode anschaue würde ich ehrlich gesagt davon ausgehen das noch etliche Monate, eher Jahre, ins Land gehen bis du soweit bist wirklich sicheren Code schreiben zu können. Vielleicht hast du dich mit dem ganzen Projekt etwas übernommen.
Das ist grundsätzlich eine Gute Idee, dennoch wäre es mir lieb selber zu informieren und Probleme mir Privat zu melden, schon allein damit niemand diese vorher ausnutzt oder von dem Verlauf verwirrt ist.
Zunächst: ich bin ein Fan von "responsible disclosure".
Auf die Gefahr hin gelöscht zu werden: Auf z.B. den SSH-Breach wurdest du in mehreren Foren und privaten Konversationen hingeweisen, genau wie die etlichen SQL-Injections, der Code im GitHub ist - Pardon - gruselig. Passiert ist halt leider nichts, und wenn Sicherheitslücken nicht durch "responsible disclosure" gefixt werden hilft halt nur der Weg an die Öffentlichkeit.
Immerhin bekommst du hier einiges an Vorschuss vertrauen, mit dem du sorgsam umgehen solltest.
Ich hätte nichts dagegen gehabt, deinen ursprünglichen Beitrag stehen zu lassen, wäre dieser nicht darauf aus, AnderCrafterYT so blos zu stellen. Wenn wir hier uns an die Gurgel gehen, dann führt das zu nichts.
Das "Anprangern" von Sicherheitslücken hat ja nichts mit bloßstellen zu tun. Der Ton war zugegebenermaßen etwas rauer, aber auch nur weil man Sie ihm schon das zehnte mal vorträgt ohne das etwas passiert und das ganze daher eine Vorgeschichte hat. Hier mal ein gelöschter Beitrag von mir:
ZitatAlles anzeigenGut gemeinter Tipp als erfahrener Admin: das reicht einfach nicht! Wie im anderen Forum schon öfters erwähnt wurde, ist nach so
einen Einbruch lediglich das sofortige (!) neu aufspielen des Servers, oder das Rückspielen eines Backups von vor (!) dem Einbruch,
ausreichend. Solange ist der Server als kompromittiert anzusehen und der Dienst schlichtweg nicht sicher. Es gibt unendlich viele
Angriffsvektoren die man unmöglich alle überprüfen kann, selbst wenn man es versucht kann man immer noch etwas übersehen.
Daher: neu aufspielen oder abschalten.
Edit: Vergleiche es grob mit einem Spion der eine Wanze in der Wohnung versteckt hat. Es gibt 1000 Möglichkeiten wo die sein
könnte (analog: authorized_keys, init-scripte, manipulierte binaires). Selbst wenn du 999 durchsuchst kannst du dir immer noch
nicht sicher sein, dass wirklich nichts manipuliert wurde. Nur ein paar Dateien abklopfen ist völlig unzureichend.
Natürlich wird der Betreiber angeprangert falsch gehandelt zu haben, aber das hat er nun mal, ohne geht es nicht 
Und wie es so aussieht haben hier wohl einige schon versucht auf den Betreiber einzuwirken, ohne Erfolg. Von daher wäre jetzt wohl doch die "Admins" des Forums am Zug das zu unterbinden. Oder vielleicht ist es hier ja erwünscht, nachgewiesen unsichere Software zu promoten, deren Betreiber nicht in der Lage ist die Lücken zu schließen oder aktuell irgendeine Expertise besitzt das Problem dauerhaft zu unterbinden.
Edit: Ist der Thread jetzt geschlossen? Zumindest hab ich keinen Antworten-Button mehr...
Und es geht ja nicht darum den Thread vom TE direkt zu löschen. Ein fetter roter Hinweis würde erst mal ausreichend sein und dem TE klar machen das er so nicht davon kommt und mal etwas Druck aufbauen. Aktuell hat er ja die Einstellung "wird schon gut gehen", was totaler Blödsinn ist. Ist wie mit großen IT-Firmen, da muss man auch Sicherheitslücken publik machen damit mal was passiert...
Edit 2:
Jetzt sehe ich erst wie tief das ganze verwoben ist. Das Problem was ich sehe (auch datenschutzrechtlicher Natur):
Ich klicke hier im Forum einfach nur ein Kästchen in meinem Profil an. Keine Datenschutzerklärung oder sonstiges der ich zustimmen muss. Danach werden meine Daten auf einen externen Server weitergeleitet, von dem die Administratoren wissen das er unsicher ist, und erst mal nichts unternehmen um dies effektiv zu unterbinden (der Zustand ist seit Wochen/Monaten schon so wenn ich mir die Github Commits anschaue). Eigentlich müsste man - im Sinne der Nutzer - eine solche Datenausleitung auf einen bekannten unsicheren Dienst sofort unterbinden, ohne wenn und aber, und die Nutzer korrekt informieren. Wenn ich mir den Github Quellcode anschaue wird einem schlecht, da fehlt jegliches Basiswissen, wie man sichere Software baut. Das gibt es nichts zu beschönigen, die SQL-Injections sind da kein Wunder. Die Frage ist will man solche Software hier? Es ist kein Meister vom Himmel gefallen, hier fehlen aber selbst noch die Grundlagen sicherer Programmierung.
Ein nicht technisch-affiner Nutzer weiß davon nichts was da im Hintergrund abgeht - woher auch - und denkt das alles halbwegs sauber läuft...
Die Frage ist halt folgendes: Wollt ihr nachgewiesen unsicherer Software eine Plattform bieten, wenn der Betreiber die Sicherheit nicht wiederherstellen will/kann?
Angenommen ich "promote" eine App/Anwendung die dem Benutzer ein Benefit für euren Server bringt (wie in diesem Falle), aber die aufgrund von öffentlich dokumentierten und belegten Sicherheitslücken die Daten der User gefährdet. Wollt ihr für sowas Werbung machen? Und dann bedenken hinsichtlich der Sicherheit einfach löschen? Es waren ja nicht irgendwelche Mutmaßungen, sondern konkret belegte Sicherheitslücken. Zudem wisst ihr ja scheinbar, dass der Betreiber der Anwendung nicht in der Lage ist, die Sicherheitslücken angemessen zu beheben, wollt ihr wirklich sowas in eurem Forum "promoten", nichts anderes wird hier ja getan.
Fakt ist: der Dienst wird immer noch auf einem Server betrieben der einen SSH-Breach hatte und somit jeder Admin als unsicher einstufen würde und sofort herunterfährt, nachdem sich seine Nackenhaare wieder gelegt haben. Zudem sind - so hört ich - einige SQL-Injections noch immer vorhanden und ein paar andere Dinge die in meinem gelöschten Beitrag aufgelistet waren Das beworbene Systeme ist einfach eine Sicherheitskatastrophe aus dem Lehrbuch. Serveradministration lernt man halt nun mal nicht über Nacht (besonders nicht wenn man lernresistent ist). Und der Betreiber ist in Urlaub und "kann sich nicht kümmern", wird schon nix passieren...
Eben weil viele Leute hier nicht die technische Ahnung habe müsste man diese eben vor genau solchen gravierend unsicheren Systemen warnen (schon nur wegen Cross-Site Scripting), der normale Nutzer weiß es nicht besser und verlässt sich auf so Aussagen wie "Wir versuchen euch ein Höchstmaß an Datensicherheit zu garantieren".
Daher sollte zumindest ganz oben ein fetter roter Schriftzug mit einer Warnung hin, der nicht-technisch-affine Nutzer warnt, dass seine Daten auf einer Sicherheitskatastrophe gespeichert werden. Über DSGVO etc. wollen wir gar nicht erst anfangen, wobei ich ehrlich gesagt keine Ahnung hab wie es mit "virtuellen Käufen" gehandhabt wird, ob da gleiche Standards gelten wie für reale Shops
Hey,
tut mir Leid, aber warum wird das Forum hier so stark zensiert? Darf man keine berechtigte Kritik in Sachen Sicherheit/Datenschutz/Privatsphäre äußern, nur weil der TO sich "zu fein" dafür ist? Wird dann direkt alles gelöscht? Weil man andere User warnen will, vor konkreten, belegten (!) Gefahren?
Ich würde es verstehen wenn es Dinge wäre wie "das sieht doof aus", "wer braucht den kack" oder ähnliches, sowas sollte man löschen. Aber berechtige Kritik an der Sicherheit? Darf hier jeder alles machen und Datensicherheit und Privatsphäre spielt keine Rolle? Löschen die Mods hier sachliche Beiträge die auf Sicherheitslücken verweisen, einfach weil der TO das will? Ohne sich damit auseinander zusetzten? Darf hier jeder sein noch so unsicheres Projekt promoten und Sicherheitsprobleme werden einfach unter den Tisch gekehrt?
Es geht um diesen Thread:
Automatisierte Statistiken und Tools für alle, von der VETEKA in Kooperation mit der Hanse
Viele Grüße
Wollbert
Edit:
Hab den Titel von "Zensur im Forum" zu dem aktuellen geändert.
Okay wenn man hier nichts zu Sicherheitslücken anmerken darf, die öffentlich in anderen Foren angesprochen wurden und auch im Github dokumentiert sind, soll es so sein. Das sagt genug über das Projekt aus...
