Diskussion zu "Brute-Force-Angriffe auf phpBB-Boards"

[redbull254]

Naja, ich hoffe das hört wieder auf....

Eher nicht, das geht schon seit Monaten so.
Ich gebe aber zu das mir das ziemlich egal ist. Ein 12-stelliges Passwort incl. der richtigen Nicknamen-Erkennung lassen mich die Sache entspannt beobachten.

[modernist]

Dann hat du es ja gut. bei mir sind es zum teil inner4halb von 1h schon 200 anfragen.

Ich hatte auch schon vorher so einige IP-Bereiche geblockt.
Seitdem ich dann die IP-Bereiche der heutigen Fakeanmeldungen existierender Accountnamen geblockt habe, finden sich zumindest keine dieser Namen mehr im User-Protokoll.

Ich gebe aber zu das mir das ziemlich egal ist.

Ich finde es unpraktisch für die Nutzer, die dann die Frage vorgelegt bekommen, weil sie sich angeblich zu oft mit dem falschen Paßwort anmelden wollten.

[redbull254]

Ich finde es unpraktisch für die Nutzer, die dann die Frage vorgelegt bekommen, weil sie sich angeblich zu oft mit dem falschen Paßwort anmelden wollten.

Das kann aber nur passieren wenn zumindest der Benutzername richtig erraten wurde.
Wenn ich in meine Log-Files schaue werden dort sein Monaten so sinnfreie Benutzernamen aufgeführt die eine Chance auf einen Treffer ziemlich klein halten.

Bisher habe ich noch keine Nachricht eines Mitglieds erhalten das er/sie sich nicht mehr anmelden konnte weil die Anzahl der erreichten Fehlversuche überschritten wurde.

[modernist]

Wenn ich in meine Log-Files schaue werden dort sein Monaten so sinnfreie Benutzernamen aufgeführt die eine Chance auf einen Treffer ziemlich klein halten.

Deswegen schrieb ich ja was von "bestehende Useraccounts für Anmeldeversuche verwendet".

Wie es scheint, waren meine IP-Bereichssperren aber recht erfolgreich (oder die, die es mit echten Usernamen versuchten, haben derzeit eine Pause eingelegt), jedenfalls gab's seit Mitternacht gerade mal 9 gescheiterte Anmeldeversuche, diesmal aber nur wieder sinnfreie Phantasienamen wie ergers34.

[DetlefT]

...
diesmal aber nur wieder sinnfreie Phantasienamen wie ergers34.

Hallo,

naja, ich halte "ergers34" nicht für sinnfrei. Habe gerade mal auf gut Glück unter www.dastelefonbuch.de unter Name "gerster" und unter Vorname "erwin" eingegeben und hatte schon 72 Treffer. Eine Kombi beim Usernamen aus abgekürztem Vor- und Nachnamen sowie einer weiteren Zahl wie Alter oder Geburtsjahr ist nicht gerade selten (siehe auch meinen Usernamen).

Eine Verständnisschwierigkeit meinerseits: Wie will man die Usernamen "geheim" halten? Diese werden doch bei jedem Posting angezeigt. Somit müsste ich also sämtliche Foren gegen das lesen durch unangemeldete User sperren, sprich, es wäre letztlich ein geschlossenes Forum. Und kryptische Usernamen kann man im nachhinein (bei mir jetzt über 1000 User, die meisten auch mehr oder weniger aktiv) eh nicht mehr durchsetzen (der Aufschrei, als ich die Passwortanforderungen drastisch hochgesetzt habe, klingt mir heute noch in den Ohren).

[hackepeter13]

Eine Verständnisschwierigkeit meinerseits: Wie will man die Usernamen "geheim" halten? Diese werden doch bei jedem Posting angezeigt. Somit müsste ich also sämtliche Foren gegen das lesen durch unangemeldete User sperren, sprich, es wäre letztlich ein geschlossenes Forum. Und kryptische Usernamen kann man im nachhinein (bei mir jetzt über 1000 User, die meisten auch mehr oder weniger aktiv) eh nicht mehr durchsetzen (der Aufschrei, als ich die Passwortanforderungen drastisch hochgesetzt habe, klingt mir heute noch in den Ohren).

Es gibt doch auch phpbb.com eine Mod, die für das Login den Username gegen einen Loginname (der niergends zu sehen ist) ausgetauscht wird.

Wenn Login- und Username getrennt sind, gibt es auch für die User keine fehlerhaften Loginversuche und somit erspart man sich das ganze Einstellen der Loginversuche und die evtl. Beschwerde von Usern das sie nicht mehr reinkommen, weil die Anzahl durch einen Bot erreicht wurde.

[smart]

Einfacher wäre in diesem Fall jedoch der von mir vorgeschlagene Login per E-Mail-Adresse...

[modernist]

naja, ich halte "ergers34" nicht für sinnfrei.

Glaub mir, in dem Fall war es sinnfrei, da ich einfach auf der Tastatur rumgetippt habe.

Eine Verständnisschwierigkeit meinerseits: Wie will man die Usernamen "geheim" halten? Diese werden doch bei jedem Posting angezeigt. Somit müsste ich also sämtliche Foren gegen das lesen durch unangemeldete User sperren, sprich, es wäre letztlich ein geschlossenes Forum.

Nein, du müsstest nur überall dort, wo der Username auftaucht eine If-Abfrage wie
<!-- IF S_IS_BOT or not S_USER_LOGGED_IN -->Platzhaltername etc.<!-- ELSE -->bisheriger Code<!-- ENDIF -->
einbauen, damit Gäste und Bots z.B. nur Platzhaltername angezeigt bekommen. Das klappt aber bei der bbcode.html aus mir unverständlichen Gründen nicht.
Nachteil ist dann, daß es für Gäste unübersichtlich wird, wenn überall Platzhaltername als Autor steht.

Es gibt doch auch phpbb.com eine Mod, die für das Login den Username gegen einen Loginname (der niergends zu sehen ist) ausgetauscht wird.

Das finde ich als Nutzer unpraktisch. Bei mehreren Foren, vor allem die, die ich nicht täglich nutze, habe ich schon Schwierigkeiten, mir meinen Nutzernamen zu merken. Da soll ich mir noch einen Zusatznamen für das Forum merken? Muß meiner Meinung nach nicht sein.

[hackepeter13]

Das finde ich als Nutzer unpraktisch. Bei mehreren Foren, vor allem die, die ich nicht täglich nutze, habe ich schon Schwierigkeiten, mir meinen Nutzernamen zu merken. Da soll ich mir noch einen Zusatznamen für das Forum merken? Muß meiner Meinung nach nicht sein.

Wieso den normalen Usernamen brauchst du dir ja dann nicht mehr merken, da du nur noch den Loginname benötigst.
Und als Username verwenden die meisten in der Regel eine Art Spitzname und einen eigenen Spitznamen vergisst man doch nicht so schnell.

Also die leute die ich kenne, haben nicht auf jeder Community einen anderen Namen, höchsten mit einem Zusatz, weil der eigentliche vllt. schon vergeben ist.
Ausserdem, kannst du dir ja auch eine Brücke bauen, z.B. den Usernamene einfach rückwärts geschrieben als Loginname verwenden oder du nimmst bspw. den Namen deiner Mutter, den wird ja wohl kein Bot wissen und du wirst den sicherlich nicht vergessen und keiner weiß und sieht es das du den Namen deiner Mutter benutzt.

Wenn du es so schwer hast dir etwas zu merken, solltest du dir generell Brücken bauen oder dir ein Notizzettel unter die Tastatur kleben - es sei denn die Hacker kommen dich schon @home besuchen. ^^

PS: Bei der Mod mit dem Email Login, hast du aber auch den Nachteil, das Email und Benutzername eingegeben werden können, was also auch nicht so viel bringt, die Mod müsste dann also erst einmal umgeschrieben werden.
Da könnteste bei meiner vergeschlagenen Mod, auch z.B. deine Email als Loginname verwenden - nur so als Tipp, für die sich das keine anderen Wörter zum Einloggen merken können.

[gn#36]

Nein, du müsstest nur überall dort, wo der Username auftaucht eine If-Abfrage wie
<!-- IF S_IS_BOT or not S_USER_LOGGED_IN -->Platzhaltername etc.<!-- ELSE -->bisheriger Code<!-- ENDIF -->
einbauen, damit Gäste und Bots z.B. nur Platzhaltername angezeigt bekommen. Das klappt aber bei der bbcode.html aus mir unverständlichen Gründen nicht.
Nachteil ist dann, daß es für Gäste unübersichtlich wird, wenn überall Platzhaltername als Autor steht.

Du kannst auch Benutzerdefinierte Platzhalter in Form von Benutzerdefinierten Profilfeldern benutzen für diesen Zweck. Dann erzwingst du einfach die Eingabe eines Pseudonyms bei der Registrierung und jeder Benutzer darf selber wählen, welcher Name Gästen angezeigt wird. Dass das bei der bbcode.html nicht funktioniert liegt daran, dass diese kein Template im eigentlichen Sinne ist. Sie gehört zwar zu einem Style dazu, damit man Dinge wie Fettschrift, Kursivschrift etc. an den Style anpassen kann wenn man muss, aber die darin enthaltenen Einträge werden nur verwendet, um [ b ], [ u ] usw. zu ersetzen, ohne dass diese noch mal langwierig geparst werden. Wenn also an BBcodes Dynamische Änderungen notwendig sind, muss das an anderer Stelle erfolgen, es dürfte diverse Mods geben, in denen sowas eingesetzt wird (z.B. Links für Gäste nicht anzeigen oder sowas).