nicht angemeldet
Hi!
Level 3 war auch nett fies hinterhältig. Zu Level 5 hatte ich dann das Dekompilat im Web gefunden und dann die neue URL komponiert (was ziemlich simpel war), um dann aufzuhören, als ich eine Seite mit den Lösungen bis Level 9 gefunden hatte.
Hm, ich habe mich im Schweiße meines Angesichsts selber bis Level 9 gekämpft. Ich habe eigentlich nichst neues über Sicherhgeitslücken gelernt, so ziemlich alles davon wird hier sofort "niedergemacht" sobald jemand damit ankommt, das sagt einiges über die Qualität dieses Forums aus(das da nichts neues war!).
Dafür habe ich fast eien ganze Nacht damit verbracht, aber es hat wirklich Spaß gemacht, vor allem da sehr viele verschiedene Methoden zum Einsatz kamen. Ich finde es ist gut geeignet um daran Sicherheitsaspekte zu verstene, wobei ich mich frage ob Leute die derartige Grundlagen nicht kennen weiter als Level 3 kommen, aber das reicht ja auch fürs erste.
Summa summarum bleibt die Tatsache bestehen: Client-Side-Authentification ist unsicher, egal wie verschlüsselt sie ist.
Ja. Und in Level 8 lernt man das man vorsichtig sein soll interne Dateien auszugeben, da gab es irgendein altes Standard-CGI-script, welches man dazu bewegen konnte /etc/passwd anzuzeigen, naja, mußte man auch erstmal drauf kommen, und dann noch das root-Passwort entschlüsseln... spaßige Sache das ganze ;-)
In der Tat: Die Integration von OpenSSL, die dafür notwendig ist, ist erst dort eingebaut worden.
Mit dem openssl modul hatte ich es anfangs auch versucht, aber das war mir dann doch zu kompliziert, daman ssl dan komlett zu Fuß einbauen mußte, und das ist nicht ganz so lustig, vor allem wen man weiß0 das in ein paar Monaten das ganze integriert wird ;-)
Das macht die Sache aber dann ziemlich einfach, weil man sich um SSL absolut nicht kümmern muß. Die Verbindung ist einfach sicher, und fertig.
Ja, angenehme Sache das ganze.
Bleibt nur das Problem der Verfügbarkeit auf dem externen System. Zuhause HTTPS zu konfigurieren wäre wohl eher nicht das Problem.
Ja, das wird das Hauptproblem im Vorliegenden Fall sein. Wo ich gerade nochmal in der mysql doku zu mysqldump war, wenn man das Risiko eingeht seinen SQL-Server lokal mit einem offenen Port nach außen zu betreiben (wenn der Provider das wie ich vermute aus guten Gründen nicht tut), udn dann könnte man auf dem Master-Server im Internet sowas machen:
shell> mysqldump --add-drop-table --host=entfernter-host datenbank | mysql -C datenbank
Das würde dann alles übernehmen, nur unverschlüsselt, wobei, gibt es nicht die Möglichkeit mit dem mySQL-Server über ssl zu komunizieren? Meine mal sowas gelesen zu haben, ist nur fraglich ob sowas in mysqldump eingebaut wird. Jedenfalls finde ich dazu in den Tools keine Option. Wäre ohne SSL zwar unsicher aber _sehr_ einfach, mit SSL bliebe nur noch das Manko mit dem doffenen Port, da kommt es dann auf die "Brisanz" der Daten an, udn wie gut man in der Lage ist sich gegen Angriffe zu schützen. Im Prinzip reicht es alle nicht gebrauchten User und Datenbanken zu löschen, sehr gute Passwörter zu verwenden und den Server auf dem aktuellen Stand zu halten.
Zu dem Thema dann vielleicht http://de.mysql.com/documentation/mysql/bychapter/manual.de_MySQL_Database_Administration.html#Security lesen.
Grüße
Andreas