Sicherheit von Typo3 Websites

Tetramatrix schrieb

Kinders, das ist sowieso alles super strafbar, also wofür damit Zeit verschwenden?

Ich möchte ja nichts die Site eines anderen hacken, sondern nur gern erreichen, das niemand meine Site knackt...
Und eines ist mal klar, Script-kiddies gibt es mehr als Sanklörnchen am Strand und die haben viel viel viel Zeit und finden es auch noch cool, wenn dann irgendwo steht "this site hacked by xyz".

@ Tetramatrix: Sag mal, habe ich das richtig verstanden, Du bist Mitglied in der Typo3 Security Group, schreibst aber selbst, dass Du keine Ahnung von der Thematik hast? Ist nicht als Flame gemeint, sondern wirklich nur eine Frage, denn das hat mich ein wenig verwirrt...

CU
maxhb

Falls Tetramatrix das ernst meint stehts allerdings echt schlecht um die Sicherheit...

Ich stehe der Sicherheit von solch mächjtigen PHP-Projeten sehr skeptisch gegenüber. Ich vermute/befürhcte, das es von denen zu Typo3 gefundenen Einträge auf http://www.securityfocus.com/ noch viel mehr gibt.

...von denen zu Typo3 gefundenen Einträge auf http://www.securityfocus.com/ noch viel mehr gibt.

das ist aber doch über 14 monate her. da gab´s ja gerademal 3.5.0, wenn ich mich nich irre?
nicht, daß es jetzt keine mehr geben könnte (vielleicht gips ja noch viel mehr... 😉 ), aber das is nunmal einfach nicht der stand der dinge, oder hab ich mich da völlig verguckt??

rakso schrieb

Ich stehe der Sicherheit von solch mächjtigen PHP-Projeten sehr skeptisch gegenüber. Ich vermute/befürhcte, das es von denen zu Typo3 gefundenen Einträge auf http://www.securityfocus.com/ noch viel mehr gibt.

warum arbeitest du denn dann damit?
mal ehrlich, welches system kann von sich behaupten sicher zu sein!

eben, kein einziges system......
und wie maxhb schon sagte..............

script kiddies sind überall!!!!!
die nutzen das aus.....

aber egal......

@tetramatrix
auch ich bin verwundert, da ich gedacht hätte, dass wenn man in so einem team ist, man auch über die thematik bescheid wissen müsste?????

cu
thorsten

hmm, also ihr zweifelt an meiner autorität als security team leader xss? das ist aber nett. selbst meine mitarbeiter haben sich noch nicht beschwert. und dann kommt ihr an, und wollt schon an meinen posten rütteln, oder was? guckt euch doch die mitarbeiter meiner gruppe an, das sind alles könner, oder nicht? #paralyzed#

wir nehmen die sicherheit sehr, sehr wichtig. und typo3 ist sicher. und wenn ihr ein Loch findet, dann sollt ihr uns das privat mailen, und uns angemessene zeit geben, das zu fixen. damit eben solche skript-kiddies nicht auf dumme gedanken kommen.

bis dahin ist alles andere spekulation.

t.

Tetramatrix schrieb

hmm, also ihr zweifelt an meiner autorität als security team leader xss? das ist aber nett. selbst meine mitarbeiter haben sich noch nicht beschwert. und dann kommt ihr an, und wollt schon an meinen posten rütteln, oder was? guckt euch doch die mitarbeiter meiner gruppe an, das sind alles könner, oder nicht? #paralyzed#

Biste Schlipsträger und ich bin da draufgetreten?!
Das war - wie schon geschrieben - nicht als Flame gemeint, sondern bezog sich auf Deine Äusserung, Du hattest geschrieben:

Tetramatrix schrieb

Aber wie gesagt bin kein Security-Profi, trotzdem viel Spaß beim hacken.

Tetramatrix schrieb

bis dahin ist alles andere spekulation.

So, alle wieder friedlich?

CU
maxhb

Hab da wohl eine ganz interessante Diskussion über die Sicherheit von Typo3 angestossen.

Über den Beitrag von Tetramatrix bin ich allerdings doch sehr verwundert::
Kinders, das ist sowieso alles super strafbar, also wofür damit Zeit verschwenden?

Seit wann werden Einbrecher denn davon abgehalten einen Einbruch zu begehen, nur weil es super strafbar ist.
Außerdem was heißt das konkret? MW sind wegen Hackens bisher nur sehr wenige verknackt worden!
So ist es nach Meiner Vorstellung doch sträflicher Leichtsinn, jene Sicherheitslöcher ausser Acht zu lassen, deren "Benutzung" super strafbar ist.
Ehrlich gesagt empfinde ich diese Argumentation nicht sehr professionell. Alle Anbieter am Markt müssen ihre Systeme so sicher wie möglich machen, um überhaupt konkurrenzfähig zu sein. Und gerade die mangelde Sicherheit wird ja den Open-Source Projekten immer wieder angelastet.

By the way: Ich habe unter dem Forum "Änfängerfragen" noch ein Topic zum Thema Typo3 und Grafik und es scheint niemanden zu geben, der mir hier weiterhelfen kann?!
Das kann ich eigentlich nicht glauben!! Vielleicht liegt es einfach daran, dass dort nur Anfänger reinschauen, es wäre toll, wenn einer von den Profis mal einen Blick in dieses Forum werfen könnte!
Thanks a lot!

Gruß Tom

...Ehrlich gesagt empfinde ich diese Argumentation nicht sehr professionell.

leute, leute...

is der smilie (das is übrigens sowas hier -> 😉 ) unter tetramatrix´ posting so schwer zu erkennen???

also echt...

doku schrieb

...Ehrlich gesagt empfinde ich diese Argumentation nicht sehr professionell.

leute, leute...

is der smilie (das is übrigens sowas hier -> 😉 ) unter tetramatrix´ posting so schwer zu erkennen???

also echt...

Na, dann also echt, die Biester sehen schon verschieden aus: 😉 vs. : #paralyzed#

nicht alles, was gelb und rund ist ist auch ein fröhlicher Smiley ... 😉
CU
maxhb

doku schrieb

...Ehrlich gesagt empfinde ich diese Argumentation nicht sehr professionell.

leute, leute...

is der smilie (das is übrigens sowas hier -> 😉 ) unter tetramatrix´ posting so schwer zu erkennen???

also echt...

Klartext: Ich bin auf der Suche nach einem brauchbaren CMS und habe nun auch eine Testinstallation auf einem Entwicklungsserver und Typo3 schien mir bislang brauchbar. Nur diese Aufgeregtheit hier über diese Diskussion verstehe ich nicht - das kann doch Typo3 nur nützen, sonst liege ich doch wohl falsch mit Typo3, wenn das nicht möglich sein sollte. Da scheint mir Microsoft aufgeschlossener!

Cu

Tom

Tetramatrix schrieb

hmm, also ihr zweifelt an meiner autorität als security team leader xss? das ist aber nett. selbst meine mitarbeiter haben sich noch nicht beschwert. und dann kommt ihr an, und wollt schon an meinen posten rütteln, oder was?

heh an deinem posten will ja keiner rütteln #giggle#

wir nehmen die sicherheit sehr, sehr wichtig. und typo3 ist sicher. und wenn ihr ein Loch findet, dann sollt ihr uns das privat mailen, und uns angemessene zeit geben, das zu fixen. damit eben solche skript-kiddies nicht auf dumme gedanken kommen.

jetzt mal meine frage?
wie wollt ihr typo3 absolut sicher machen, wenn php selber nicht sicher ist?

cu
thorsten

tomybyte schrieb

Da scheint mir Microsoft aufgeschlossener!

brrrrrrrrrrrrrrrrrrrrrrrrrrrrrr............
das böse wort das mit m anfängt und mit icrosoft aufhört...
#evil#
cu
thorsten

Tetramatrix schrieb

hmm, also ihr zweifelt an meiner autorität als security team leader xss?

hmmmmm....Nein wie könnten wir denn daran zweifeln !
Da wir alle wissen das PHP absolut sicher ist gehen wir davon aus das du weißt was du da tust !
Das hat ungefähr soviel Aussagekraft wie die Erkenntnis das M$ IE keine Bugs sondern hidden Features beinhaltet...was den Begriff "Javascript Injection" umso interessanter erscheinen lässt.

SCNR
Dosul

Bin kein Schlipsträger und bin auch nicht sauer. Vielleicht ein bißchen 8-).

Wie oft soll ich den noch sagen, daß T3 sicher ist? Erst kürzlich hat Heise mal wieder einen Riesenterz gemacht, wegen einem XSS-Sicherheitsleck in T3 BE. Der Patch dagegen war in noch nicht mal einer Woche fertig. Microsoft und Apple brauchen dafür Monate und ein Riesenbudget.

Außerdem gibt es ja auch einfachere Hacks, zb. Passwörter erraten. Eine Wörterbuch-Attacke auf das BE-Login könnte bei leicht zu erratenen PW durchaus erfolgreich sein.

t.

Tetramatrix schrieb

Wie oft soll ich den noch sagen, daß T3 sicher ist?

Der letzte der behauptete das irgendetwas sicher sei und er mit wirrem Blick auf der Bühne umherhüpfend schrie "I Love that Company" war ein gewisser Steve Bullmer........
Wolltest du dich dort einreihen ???

dosul

also ich bin auch der meinung das t3 soweit sicher ist. nur man kann immer wieder neue sicherheitslücken entdecken und stopfen. das ist doch wie bei gesetzen, es gibt fast immer einen weg sie zu umgehen 😃

Tetramatrix schrieb

Bin kein Schlipsträger und bin auch nicht sauer. Vielleicht ein bißchen 8-).

Dann wird ja alles gut 😉

Tetramatrix schrieb

Wie oft soll ich den noch sagen, daß T3 sicher ist? Erst kürzlich hat Heise mal wieder einen Riesenterz gemacht, wegen einem XSS-Sicherheitsleck in T3 BE. Der Patch dagegen war in noch nicht mal einer Woche fertig. Microsoft und Apple brauchen dafür Monate und ein Riesenbudget.

Wollte ja auch niemand sagen, dass die SecGruppe nur Däumchen dreht. Ich denke wir sind alle froh, dass sich dieser thematik angenommen wird und Reaktionszeiten von einer Woche sind in der tat ziemlich gut!

Das T3 allerdings von Dir prinzipiell als sicher eingestuft wird kann ich jedoch immer noch nicht nachvollziehen. Daher frage ich noch mal ganz direkt: Kann nicht eine einzige buggy Extension das gesamte System kompromittieren? Wenn ich also z.B. eine Extension für einen Kunden entwickeln sollte und dort vielleicht die an die DB übergebenen Parameter nicht überprüfe, dann wäre ggf. eine SQL-Insertion möglich und wenn sich diese auf die tabelle be_users bezieht, dann ist das gesamte System ausgehebelt worden.
Scheint mir ein prinzipielles problem zu sein, so dass man auf jeden Fall jede Extension, egal ob im repository oder selbst geschrieben gründlich checken sollte...

Tetramatrix schrieb

Außerdem gibt es ja auch einfachere Hacks, zb. Passwörter erraten. Eine Wörterbuch-Attacke auf das BE-Login könnte bei leicht zu erratenen PW durchaus erfolgreich sein.

Dagegen kann man vermutlich nicht wirklich etwas unternehmen. Man könnte zwar die gewählten Passworte per Script auf Ihre Qualität überprüfen und einfache Passworte verbieten, jedoch verbessert das die Situation nur marginal...

CU
maxhb

hi
mich würde trotzdem das javascript injection problem interessieren 😉

nur so nebenbei #giggle#

cu
thorsten

Tetramatrix schrieb

Außerdem gibt es ja auch einfachere Hacks, zb. Passwörter erraten. Eine Wörterbuch-Attacke auf das BE-Login könnte bei leicht zu erratenen PW durchaus erfolgreich sein.

maxhb schrieb

Dagegen kann man vermutlich nicht wirklich etwas unternehmen. Man könnte zwar die gewählten Passworte per Script auf Ihre Qualität überprüfen und einfache Passworte verbieten, jedoch verbessert das die Situation nur marginal...

Naja.....hmmmmmm......
Ich weiss nicht.....ne Brute force mit Dictionary???
Wie man sowas abfängt sollte eigentlich bekannt sein....
Ist nen uralter Hut.....
Klar kann man das abfangen in dem man die Login Versuche Zeitlich begrenzt oder ??
Naja...war nur so'n Gedanke....

cu
Dosul

TW schrieb

hi
mich würde trotzdem das javascript injection problem interessieren 😉

nur so nebenbei #giggle#

cu
thorsten

Na dann......

<script>alert('evil+java+script+here')</script>

*gg*
Dosul