News OpenSSH: Kritische Sicherheitslücke nach 19 Jahren geschlossen

[MBrain]

Die erste Version von OpenSSH wurde 1999 veröffentlicht. Das Programm erlaubt die Fernwartung über die Secure Shell (SSH) inklusive SSH File Transfer Protocol. OpenSSH ist dabei eine Komplettlösung und beinhaltet einen entsprechenden Client, Dienstprogramm und den dazugehörigen Server.

Zur News: OpenSSH: Kritische Sicherheitslücke nach 19 Jahren geschlossen

 

[Nase]

Überschrift: "Kritische Sicherheitslücke nach 19 Jahren geschlossen"
Im Text: "Sicherheitslücke wird nicht als kritisch eingestuft"

Nice.

 

[Crumar]

Hast du ja Recht, aber nur weil sie der Entwickler nicht als kritisch betrachtet, kann jeder andere sie kritisch ansehen. Just a thought

 

[MaBo.]

In meinen Augen ist das keine Sicherheitslücke. Das sollte das normale Verhalten beim Anmelden bei einem Server sein. (－‸ლ)

 

[SVΞN]

Nach 19 Jahren darf man wohl mit Fug und Recht sagen, „...das wurde auch Zeit.“

@MBrain Danke für den Beitrag, sehr interessant solche Facts. Gerne mehr davon. Ein schöner Kontrast zu all den reinen Konsumgeschichten die uns sonst so tagtäglich beschäftigen.

Liebe Grüße
Sven

 

[frkazid]

Mh...CB scheint auch eine kritische Sicherheitslücke zu haben

 

[BLJ]

selbst die Anmeldung bei Google meldet ob der Benutzername / Email registriert ist oder nicht.
Das ist Benutzerfreundlicher (aber etwas unsicherer).

 

[Nase]

@Crumar Du kannst (und solltest) SSH absichern, indem du known_hosts definierst, authorized_keys hinterlegst, sowas wie fail2ban nutzt, um Brute-Force-Attacken abzuwehren und du willst mir erzählen, dass das willkürliche Ausprobieren von Benutzernamen eine kritische Sicherheitslücke ist? Ich bitte dich ...

 

[Benji18]

im prinzip braucht man nur fail2ban als progamm installieren damit kann man dann diesen Bruteforce attacken einhalt gebieten, ansich ist die Sicherheitslücke nicht als kritisch einzustufen da immer noch der Server via Burteforce attackiert werden muss um ein Passwort herauszufinden. Außerdem ist man auch einigermaßen save wenn man nicht default User verwendet und den rootuser keine Anmeldung via SSH erlaubt.

 

[Nase]

und den rootuser keine Anmeldung via SSH erlaubt

Was übrigens auch die Standardkonfiguration ist.

 

[campi]

Mh...CB scheint auch eine kritische Sicherheitslücke zu haben

Anhang anzeigen 703532Anhang anzeigen 703533

Um den Nutzernamen von Usern zu erfahren muss ja nur ins Forum gucken, da stehen die dann schon (die Email-Adresse ist ein anderes Thema).

 

[teufelernie]

Mh...CB scheint auch eine kritische Sicherheitslücke zu haben

Anhang anzeigen 703532Anhang anzeigen 703533

Direkt abmahnen
@Blutschlumpf : besser so?

 

[gibbm]

Überschrift: "Kritische Sicherheitslücke nach 19 Jahren geschlossen"
Im Text: "Sicherheitslücke wird nicht als kritisch eingestuft"

Nice.

In der angegebenen Quelle ist die überschrift nicht so reißerisch.. Dort ist auch nur die nicht kritische Form im Text zu finden.

Überschriften a la Klatschpresse.
Und es fällt sofort auf

Mega minus dafür.

 

[DocWindows]

Außerdem ist man auch einigermaßen save wenn man nicht default User verwendet und den rootuser keine Anmeldung via SSH erlaubt.

Man ist übrigens auch sicher, wenn man für SSH nicht den Standard-Port verwendet, sondern irgendeinen anderen. Hab ich vor 10 Jahren auf einem öffentlich erreichbaren Webserver eingerichtet und beibehalten. Anzahl versuchter Verbindungsaufnahmen: 0

 

[crocker1337]

@gibbm
Und das ist dein erster Beitrag nach fast 8 Jahren bei CB?

 

[SheepShaver]

In meinen Augen ist das keine Sicherheitslücke. Das sollte das normale Verhalten beim Anmelden bei einem Server sein. (－‸ლ)

User enumeration ist bei einer Sicherheitssoftware als kritisch einzustufen.

 

[cat_helicopter]

Das einzige was hier kritisch ist, ist der Clickbait

 

[Wattwanderer]

Man ist übrigens auch sicher, wenn man für SSH nicht den Standard-Port verwendet, sondern irgendeinen anderen. Hab ich vor 10 Jahren auf einem öffentlich erreichbaren Webserver eingerichtet und beibehalten. Anzahl versuchter Verbindungsaufnahmen: 0

Das ist dann eine Ausnahme. Genervt von den Einlogversuchen habe ich den Port umgelegt. Erst einmal wohlige Stille. Nach ein paar Wochen ging das wieder los.

Ansonten war das schon immer ein Thema. Erinnere mich noch vor oh, mein Gott, 30 Jahren? Beim lokalen Login an der Konsole wurde versucht die Zeit bis zum "Passwort:" immer konstant zu halten. Nicht, dass ein Angreifer anhand der Zeit zwischen Username und Passwort erraten kann ob ein Nutzer mit dem Namen gibt oder nicht.

 

[THED0M]

Es waere schoen, wenn ihr bezueglich sicherheitsrelevanter/sicherheitskritischer Themen etwas frueher berichten koenntet.

 

[patrick888]

Wer im kommerziellen Bereich nicht ausschließlich mit Key-Authentifizierung arbeitet dem ist eh nicht zu helfen, und für diejenigen die es tun ist das ganze völlig unerheblich.