Ankündigung Verdächtige Logins in rund 900 ComputerBase-Accounts, die nun sicherheitsgesperrt sind

[Linuxfreakgraz]

Hat der Bot das bei meinem Account auch probiert?

 

[Steffen]

Wer zu den 900 Nutzern zählt, hat nicht nur eine E-Mail bekommen, sondern sieht beim Aufrufen des Forums auch eine Meldung, dass der Account sicherheitsgesperrt wurde und ein Passwort-Reset erforderlich ist (als einzige Meldung auf der Seite, ohne sonst noch nennenswert was machen zu können).

Da du hier diesen Beitrag schreiben konntest, gehörst du nicht dazu (oder hast die Passwort-Reset-Prozedur bereits durchlaufen).

 

[lordZ]

Mit einem Account-Rate-Limit sollten solche Angriffe doch quasi völlig unmöglich sein, oder?

Ich finde es zwar höchst ärgerlich, wenn man auf diversen Seiten bereits nach 3 oder 5 negativen Versuchen vorübergehend gesperrt wird, aber selbst ein Limit von 20 oder 30 negativen Versuchen sollten solche Angriffe doch quasi unmöglich machen, solange man nicht beispielsweise "Apfel" als Passwort verwendet.

@CB = Vorbildliche Informationspolitik

 

[Steffen]

Mit einem Account-Rate-Limit sollten solche Angriffe doch quasi völlig unmöglich sein, oder?

Gibt es ja. Dass das bei den Accounts nicht geholfen hat zeigt, dass Benutzername + Passwort bekannt gewesen sein müssen. Der Bot hatte beim Einloggen eine Erfolgsquote von 36%. Das ist also die einzige plausible Erklärung.

(Wenn das Leak von uns stammen würde, was es nicht tut, dann wäre die Erfolgsquote vermutlich nahe 100%, weil es ja eher selten vorkommt, dass man ein Passwort ändert.)

 

[lordZ]

Alles klar, danke für die Info!

 

[duAffentier]

Ist denn eine 2FA von Google möglich?

 

[Steffen]

Die 2FA nutzt den Standard TOTP, der unter anderem von der App Google Authenticator unterstützt wird. (Aber auch von Aegis, FreeOTP, Authy, ...)

 

[duAffentier]

Schon gesehen sorry, Frage war zu früh gestellt.

 

[Haldi]

Der Bot hatte beim Einloggen eine Erfolgsquote von 36%.

Das ist erschreckend Tief.....
Oder positiv?
36% Erfolgreiche passwörter oder 36% Existierende Emails mit korrekten passwörter?

Würde bedeuten das 1/3 der Nutzer auf mehreren Seiten das Gleiche passwort benutzt.

 

[sedot]

Hilfestellung für merkbare Passwörter;
https://hackaday.com/2015/10/26/a-more-correct-horse-battery-staple/

 

[RayZen]

Vorbildliches Verhalten in Punkten Information und Sicherheit!
Top ComputerBase!

Vorbildlich wäre eine dauerhafte Sperrung.

 

[Ranayna]

Wat?
Warum sollte jemand dauerhaft gesperrt werden wenn sowas vorkommt?
Die "Jugendsuende" Passwoerter mehrfach zu verwenden hat sicherlich so gut wie jeder bei eher unwichtigen Accounts schon gemacht.

 

[Drahminedum]

Vorbildlich wäre eine dauerhafte Sperrung.

Super Idee, vor allem bei false positives

 

[cartridge_case]

36% Erfolgreiche passwörter oder 36% Existierende Emails mit korrekten passwörter?

Ich verstehe das so, dass wohl jeder dritte Loginversuch geklappt hat.

 

[lordZ]

Super Idee, vor allem bei false positives

Ich verstehe das so, dass wohl jeder dritte Loginversuch geklappt hat.

Genau so, ich verstehe nicht mal, wie man das anders verstehen kann.

Wird jeder einzelne Account eigentlich von der selben IP Adresse angegriffen oder erfolgt jeder Login-Versuch pro Account von einer anderen IP-Adresse?

 

[Haldi]

Genau so, ich verstehe nicht mal, wie man das anders verstehen kann.

Nehmen wir mal an es wäre eine Liste mit 100 E-Mails die versuchen sich einzuloggen.
Davon haben 50 einen Account auf Computerbase.
Bei 25 davon gelingt der Login.

Haben wir jetzt eine Erfolgschance von 50% oder von 25% ?

 

[Apacon]

Gibts da aktuell noch Auswirkungen? Ich hatte heute morgen mehrfach die Meldung "502 Bad Gateway" und konnte auf Computerbase teiwleise nicht zugreifen.

 

[Drewkev]

@Apacon
Das lag an was anderem: https://www.computerbase.de/forum/t...-34-uhr-bis-8-42-uhr-weitgehend-down.2146325/

 

[Boimler]

Danke für den direkten Hinweis und die schnelle Reaktion!

Was bei der Diskussion nicht untergehen darf, ist die Nachlässigkeit der Nutzer, die hier den Zugriff erlaubt hat. Doppelte Passwörter sind einfach nicht sicher. Habe erst letztens zwecks Hilfestellung die Logindaten eines Freundes bekommen (nicht für CB). Das Passwort war ein Name, klein und zusammengeschrieben. Und ich möchte nicht wissen, wo das so oder so ähnlich noch verwendet wird.

 

[cartridge_case]

Nehmen wir mal an es wäre eine Liste mit 100 E-Mails die versuchen sich einzuloggen.

Die kennen wir doch gar nicht. Also ist das eine Unbekannte. Woraus willst du eigentlich hinaus? Mit Logik ist das eineindeutig.