Webmaillogin Sicher! machen ?

[jraven]

Hat jemand schon bemerkt das der Webmaillogin (neue Comfixx 2.10) irgendwie nicht so ganz dem Sicherheitsstandart entspicht ?
(confixx ist generell nicht das sicherste, aber ein schutz gegen DAU User sollte es schon geben)

Has sich jemand schon mal Gedanken gemacht, wie das Sicherheitsloch speziell vom Webmailer ist gestopft werden kann ?
Der Webmailer macht einen HTTP Auth über den Browser und gibt bei Unachtsamkeit einem anderen Benutzer sein Webmail Login.

Test mit dem IE5.x : wenn der Browser nicht richtig geschlossen (komplett beendet) kann ,man durch aufrufen der Grund Url den Letzten Account bearbeiten ohne sich erneu einloggen zu müssen. !!!!
Test mit dem Netscape 7.0 : Das Selbe verhalten wenn ich den Browser nicht komplett runterfahre.
Test mit Opera : wie oben. Erst total abschalten dann hat Opera den Login vergessen.

Lustig wird dies wenn man die Funktionen von Windows Explorer benutzt. Denn kann man so leicht nicht beenden. Somit bleibt der Account erhalten bis man den kompletten Computer runterfährt.

Ist irgend jemand schon auf eine Idee, oder einem Bad Hack gekommen dieses Problem zu lösen ? (Löschen oder Ã?berprüfen der HTTP Auth Variable (evt mit sessoins))

Ich habe schon mit BasGo eine weile darüber gemailt. Ohne alle (sehr viele) $php_auth_user Abfragen abzuändern ist höchstwahrscheinlich das Problem nicht zu lösen.

Hat vielleicht jemand Ahnung von session ID's diese Könnte man beim Ausloggen löschen und beim einloggen (auth.php) überprüfen. Ich bin jedenfalls ratlos .....

Grüße aus Berlin

[static]

Hi,
erstmal, ich bin mir überhaupt nicht sicher ob das stimmt was ich hier schreibe - also glaube mir kein Wort :lol:

AFAIK kann der Server nicht feststellen wann du deinen Browser schliesst, da HTTP für jeden Request eine neue Verbindung aufbaut - verbindungslos nennt man das, glaube ich. Einziger Ausweg wäre wahrscheinlich für jeden Request (also für jedes Bild, jede Datei etc) Passwort und User anzufordern - und das will wahrscheinlich niemand wirklich :P.
Aber solange du nicht gerade deine Seite in einem Internetcafé aufrufst und jemand nach dir genau dieselbe Seite besucht, sehe ich auch keine Möglichkeit, wie jemand das ausnutzen könnte. Ich gehe stark davon aus, dass es eine Art Time Out gibt, nachdem eine "Session" als beendet angesehen wird, wenn keine weiteren Requests mehr kommen und dann muss wieder User + PW eingegeben werden.

Wie gesagt, ka ob das stimmt, da es mich aber auch interessiert, würde ich gerne eine kompetentere Meinung hören

so long
static

[sascha]

Ich kann nur für den IE sprechen:

Du musst nachdem du auf neu einloggen geklickt hast, alle Browserfenster schließen, erst dann bist du wirklich ausgeloggt. Außerdem sollte die "Passwort merken" Aufforderung verneint werden.

[mezga]

Im ganz normalen Benutzer-/Reseller-/Admininbereich gibts ja auch das gleiche Problem und bis jetzt hats auch noch keinen gestört :)

[jraven]

. Ich gehe stark davon aus, dass es eine Art Time Out gibt, nachdem eine "Session" als beendet angesehen wird, wenn keine weiteren Requests mehr kommen und dann muss wieder User + PW eingegeben werden.

Tut mir leid einen Timeout gubt es nicht ! Jedenfalls nicht bei der Version das mann den Windows Explorer nimmt
(Was auch recht ungewöhnlich ist)

Wenn mann die normalen Programme ordenlich schließt ist auch alles vorbei.
Wichtig finde ich es auch es mal anzusprechen.

Ich wollte eigendlich für Studenten (/heater und Veranstaltungstechnik) den Email Dienst ihres Vereins sponsern, Wenn das nicht so leicht weg zu kriegen ist sollte ich wenigstens ein POPup mit Warnung einbauen einbauen

Guß aus Berlin
http://www.berlinhosting.de

[jraven]

Im ganz normalen Benutzer-/Reseller-/Admininbereich gibts ja auch das gleiche Problem und bis jetzt hats auch noch keinen gestört :)

Gestört schon Viele .........

Ist aber im Sand verlaufen wei die anderen Vorteile von Confixx überwiegen !!!

Grüße ! von JvdSaB (das erste ist Jan das letzte Berlin :-) )

[jraven]

Ich kann nur für den IE sprechen:

Du musst nachdem du auf neu einloggen geklickt hast, alle Browserfenster schließen, erst dann bist du wirklich ausgeloggt. Außerdem sollte die "Passwort merken" Aufforderung verneint werden.

Opera und Netzcape muß ich komplette beenden !
Windows Explorer 5.x muß wegen der Fehlenden Karteisteuerung (IE6.x,Opera,Netc7.x) nur das Betroffede Fenster geschlossen werden.
Wie das mir den EI 6.x ist kann ich nicht sagen, sowas habe ich nich drauf :-)

Gruß Jan

[mstuebner]

Im ganz normalen Benutzer-/Reseller-/Admininbereich gibts ja auch das gleiche Problem und bis jetzt hats auch noch keinen gestört :)

Gestört schon Viele .........

Ist aber im Sand verlaufen wei die anderen Vorteile von Confixx überwiegen !!!

Das hat aber trotzdem nichts mit dem Browsertyp oder Confixx zu tun, HTTP-Auth kennt halt ein Abmelden, bei Bedarf Spec lesen.

Aber gut dass das nach so vielen Jahren dann doch mal auffällt. 8O

[Outlaw]

Das ist kein Sicherheitsleck, das ist ein Feature ....

Wenn man den Browser nicht komplett beendet, werden die vorangegangenen Zustände gecached, um nicht alles wieder von Vorne eingeben zu müssen. Da aber die wenigsten Leute ihre PCs mit anderen teilen, hat man dieses Feature als Standard gesetzt. DU kannst ja Deinen Browser umkonfigurieren, daß er das in Zukunft unterlassen soll ....

BTW: Wenn doch mehrere User auf einem PC arbeiten sollen, dann sollte man nicht nur den Browser am Schluss schliessen, sondern sich komplett ausloggen ....

[hbaes]

... und wenn man 100%ig Sicher gehen will, dann lässt man auch noch alle Temporären Verzeichnisse löschen .... (soll ja Tools geben die das auch unter M$ hinkriegen).
Wob ei sich dann natürlich die Frage stellt: Wenn sich mehrere Leute einen Rechner teilen, der Rechner aber unter EINEM Account läuft, was das ganze dann für einen Sinn macht ...

Wenn der rechner nämlich (unter M$) unter diversen Accounts liefe (laufen würde), dann hättest Du kein problem, da jeder User (unter NT, XP, 2000 & 2003) seinen eigenen Documents Ordner hat, unter dem dann die Temporären Dateien (auch vome IE) und Cookies usw.. gespeichert werden ...

gruß
Harald