Re: OT: Sicherer Webserver - Bitte wie?

On Tue, 2005-05-17 at 19:20 +0200, Oliver Fromme wrote:
> Bernd <bernd(at)mynet.at> wrote:
> > On Tue, 2005-05-17 at 15:47 +0200, Oliver Fromme wrote:
> > > Bernd <bernd(at)mynet.at> wrote:
> > > > Sie haben nur nen FTP Zugang [...]
> > >
> > > In dem Fall würde ich davon ausgehen, daß sich die Paßwörter
> > > der Benutzer bereits in den Händen von Crackern befinden
> > > (wenn nicht sogar Schlimmeres).
> >
> > Ähm, wieso dieses?
>
> Weil beim FTP-Protokoll (neben anderen Nachteilen) die Paß-
> wörter im Klartext übertragen werden, d.h. man kann sie
> trivial »sniffen«.

Achso, deshalb. Wußte anfangs nicht ganz was du meinst. Dass jeder der
zB ettercap bedienen kann diese Passwörter sniffen könnte ist mir klar,
aber wenn sich der User zB aus seiner Schule einloggt, jemand sein
Kennwort snifft und sich dann einloggt um die Seite zu defacen, dann ist
mir das egal (im Vergleich zu einem "Hack" welcher den ganzen Server
betrifft). Ist ja nur ein chrooted FTP Account ohne Shell. Da ist jeder
sein eigener Pilot *G*

> > > > (BTW: PureFTP)
> > >
> > > Huch, warum ausgerechnet den?
>
> Ich hätte anders fragen sollen: Warum nicht der ftpd, der
> bei FreeBSD eh schon dabei ist? Das Basis-System leistet
> nämlich schon alles, was Du brauchst.

Eben Throttling, Quoats, etc ist mit ihm recht einfach machbar. Aber
Gegenfrage: Was spricht gegen PureFTPd? Angenommen ich will Features die
der FTPd des Basissystems nicht hat.

> > > > Upgeloadet wird wie gesagt nur mit FTP, sonst nichts.
> > >
> > > »Nur« ist gut. :-)
> > >
> > > FTP ist eigentlich so ziemlich das Schlechteste, was man
> > > nehmen kann, insbesondere für administrative Zwecke (Hoch-
> > > laden von Seiten). Bessere Alternativen wären z.B. SFTP,
> > > SCP oder WebDAV (über HTTPS); letzteres wird insbesondere
> > > von den meistens HTML-Editoren -- auch unter Windows --
> > > unterstützt, und Apache 2 hat ein eigenes Modul dafür.
> >
> > Naja, ich mach das ja mehr oder weniger auf freiwilliger Basis, folglich
> > sollen die Leute auch mit FTP zufrieden sein.
>
> Die Leute sind möglicherweise damit zufrieden -- Aber _Du_
> solltest nicht damit zufrieden sein, denn es trägt nicht
> gerade zur Sicherheit Deines Systems bei.

Stimmt auch wieder . . .

> > Außerdem können die dann
> > wie gewohnt ihr WS_FTP verwenden und das Zeug kopieren. Wenn ich SCP
> > nehme bekomm ich nur wieder von den halben ne Mail, warum nicht FTP und
> > wieso überhaupt SCP (bzw "Was is des?")
>
> Es muß ja nicht SCP sein (das war nur ein Beispiel), aber
> auch für SCP gibt's inzwischen bequeme Windows-Clients.
> Übrigens kenne ich keinen, der das veraltete WS-FTP für
> sowas benutzt; die meisten nehmen die FTP-Upload-Funktio-
> nen, die in die gängigen HTML-Editoren bereits integriert
> sind. Wobei WebDAV natürlich besser, sicherer, bequemer
> und performanter ist ...
>
> Mich wundert, daß Dich noch keiner von Deinen Leuten nach
> DAV-Unterstützung gefragt hat.

Ein paar Leute kennen WinSCP schon, aber die Mehrheit verwendet wirklich
noch WS_FTP, wobei ein Trend Richtung SmartFTP (oder so?) geht.

Ne, nach DAV-Unterstützung hat noch keiner gefragt. Gott sei Dank ließt
von denen keiner diese Mailinglist *FG*

Danke,
lg Bernd

To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message
Received on Wed 18 May 2005 - 10:03:07 CEST