Onderwerp: Is website ONkraakbaar

Beetje rare vraag misschien maar op een clubsite (mx5club.nl) is een nieuwe site geplaatst door ClassLogic. Zij claimen (begrijp ik uit het forum van de nieuwe site) dat de site NIET te kraken is (staat totale ledenbestand op met diverse info zoals rekeningnummers en zo)

Is dat een claim die je zo kan stellen of is het onzin?

M.a.w. is het waar wat ze claimen, heb hier absoluut geen verstand van.

Alles wat bereikbaar is via internet is openbaar te krijgen

Haha zeggen dat je site/server onkraakbaar is, is een teken van arrogantie (in iedergeval iets te veel zelfvertrouwen). Mensen die dit soort claims doen zou ik niet graag als collega willen hebben. Je moet die claim dus met een pot zout nemen

FF van hun site gehaald (ClassLogic)

Beveiliging van data-communicatie en authenticatie
Packet Sniffers zijn applicaties die door Hackers gebruikt worden voor het achterhalen van passwords. De applicaties luisteren via een netwerk kaart naar dataverkeer dat langs een komputer komt. Het is namelijk zo dat data naar alle computers op een netwerk-subnet gestuurd word. Normaal gesproken doet alleen de eindbestemmings computer iets met het verstuurde data. Packet Sniffers luisteren naar data-verkeer dat bedoeld is voor andere computers en onderscheppen daarmee de leesbare 'Plain Text' passwords zoals die door web-based applicaties gebruikt worden.

Web-based applicaties zetten hun sourcecode in het HTML document, wat via elke web-browser te bekijken is, dus ook eventule encryptie algoritmen (als ze die al hebben). Web-based applicaties zetten de deur wijd open voor hackers die graag voor u uw website willen aanpassen.

Oplossing in CMS-Logic:
In tegenstelling tot web-based applicaties kunnen de passwords van CMS-Logic niet gelezen worden door Packet Sniffers. CMS-Logic gebruikt data-encryptie voor het beveiligen van de communicatie tussen Client en Server. De data kan wel onderschept worden, maar niet gelezen worden door derden (hackers). De applicatie sourcecode is niet te bekijken wat ten goede komt aan de beveiliging. Derden hebben geen inzage in de encryptie-algoritmen van CMS-Logic.

Alles valt te kraken...

Valt te zien hoeveel tijd ze erin willen steken....

Als de sites van Microsoft, FBI, om er maar eens een paar te noemen, worden 'gekraakt', is het een illusie te denken dat een 'huis- tuin- en keukensite' niet gekraakt zou kunnen worden.

Wat iemand maakt, kan altijd door iemand anders gekraakt worden. Misschien is de website goed gescript en moeilijk te kraken.
Een veel slimmere methode is dan om via de server binnen te komen .

Maarja, we gaan hier geen hack lessen geven .

Het is idd kraakbaar, de keten is maar even sterk als de zwakste schakel. Zoiets claimen is vragen om ellende. Iedereen die iets van security afkent weet dat zoiets om problemen vragen is, zegt dit veel over hun kennis van zake ??

Waarom denkt iedereen nou zo moeilijk.. de sourcecode is niet beschikbaar, de applicatie draait op de server en is niet op internet beschikbaar, packetsniffers TUSSEN server en client kunnen niet doen..

Al eens gedacht om gewoon hun BIND of Apache te exploiten en root te verkrijgen, mooi weg alle beveiligingen Denk ook eens aan een andere website die op de server draait welke je kunt kraken en zo hun bestanden kunt inlezen bijvoorbeeld, of hun server via een andere pagina exploiten dmv bv Awstats met remote code execution, tada

Origineel geplaatst door Senna
FF van hun site gehaald (ClassLogic)

Beveiliging van data-communicatie en authenticatie
Packet Sniffers zijn applicaties die door Hackers gebruikt worden voor het achterhalen van passwords. De applicaties luisteren via een netwerk kaart naar dataverkeer dat langs een komputer komt. Het is namelijk zo dat data naar alle computers op een netwerk-subnet gestuurd word. Normaal gesproken doet alleen de eindbestemmings computer iets met het verstuurde data. Packet Sniffers luisteren naar data-verkeer dat bedoeld is voor andere computers en onderscheppen daarmee de leesbare 'Plain Text' passwords zoals die door web-based applicaties gebruikt worden.

Hier hebben ze al -1- misvatting.
Je kan natuurlijk met packet sniffers ook de complete authenticatie procedure reverse engineeren.
Als hier fouten inzitten schept dat natuurlijk perspectieven.

Verder doet het feit of een wachtwoord encrypted of plaintxt is weinig tot niet aan de orde.
Als webapplicaties naar encrypted passwords luisteren, ben je tenslotte de Plain Text versie in beginsel in zijn geheel niet meer nodig.
De reden om toch voor encrypted passwords te gaan zit hem dan ook meer in het feit dat het encrypted exemplaar onder geen beding te herleiden tot het plain text exemplaar behoort te zijn, wat onwenselijk kan zijn wanneer mensen het wachtwoord voor meerdere diensten gebruiken.

Natuurlijk is dit weer een beetje kort door de bocht.
Je kan natuurlijk ook gebruik maken van encrypted data stromen, goed doordachte authenticatie procedure's etc. etc.

Zoals reeds gezegt de keten zo sterk zijn als de zwakste schakel.
Waarbij het ook leuk is om te weten dat er maar relatief weinig "nieuwe" fouten worden gemaakt.

Origineel geplaatst door WH-Tim
Waarom denkt iedereen nou zo moeilijk.. de sourcecode is niet beschikbaar, de applicatie draait op de server en is niet op internet beschikbaar, packetsniffers TUSSEN server en client kunnen niet doen..

Dat de sourcecode niet beschikbaar is, betekend natuurlijk niet dat je het niet kunt exploiten.
Exploits zijn vaak weinig uniek, buffer overflows, SQL injection etc. etc.
Allemaal fouten die reeds eerder gemaakt zijn en in de toekomst nog veel vaker gemaakt zullen worden.

Dat een sniffer tussen de client en server snift is geen beletsel.
In sommige gevallen kan dit erg interessante informatie opleveren.

Het toepassen van exploits op andere services welke op een server draaien doet natuurlijk in zijn geheel niet ter zake.
Er wordt immers door mensen geclaimd dat zij een onkraakbare site hebben.
Niet dat andere services op de server onkraakbaar zijn.

Ik vind dit een beetje uitlokking van, om zoiets op de site te zetten.

Origineel geplaatst door Senna

Oplossing in CMS-Logic:
In tegenstelling tot web-based applicaties kunnen de passwords van CMS-Logic niet gelezen worden door Packet Sniffers. CMS-Logic gebruikt data-encryptie voor het beveiligen van de communicatie tussen Client en Server. De data kan wel onderschept worden, maar niet gelezen worden door derden (hackers). De applicatie sourcecode is niet te bekijken wat ten goede komt aan de beveiliging. Derden hebben geen inzage in de encryptie-algoritmen van CMS-Logic.

En daarom doe je je voor als de betreffende server en geef je zelf een SSL cert. uit...
En je hebt de data die je wilt..

Alles is te kraken :P lijkt me knap pas is een server van de nasa gehackt en dan zou zo'n gewone niet te kraken zijn Lijkt me lache