(FTP-)Sicherheit

[Sven Rautenberg]

Moin!

Wieso machst du irgendeine Sicherheit eines Protokolls an dessen Alter fest?
Es war nicht so gemeint, daß die Sicherheit des Protokolls mit dem Alter zu tun hat. Aber mittlerweile gibt es halt andere Protokolle, mit denen es möglich ist, die Daten auch verschlüsselt zu übertragen, wodurch das Sniffen dann nichts mehr bringt.

Sniffing war ja aber auch nicht geschildert. :)

Im Prinzip bringt Brute-Force immer 100%igen Erfolg. Es kommt halt nur auf den Zeitfaktor an...
Jaja, aber stelle den Zeitfaktor mal nicht so in Abrede! Der ist durchaus relevant, denn wer wartet denn schon gerne länger, als das Universum bis jetzt alt geworden ist?
Ja, natürlich ist der Zeitfaktor relevant. Das habe ich doch geschrieben. Aus diesem Grund wäre hier ja auch eine Zeitsperre sinnvoll (und ein längeres Passwort, daß man nicht in einem Wörterbuch findet).
Wenn nach drei Loginversuchen die Verbindung getrennt wird oder die IP für einige Minuten gesperrt wird, dann ist es halt nicht mehr möglich, zigtausend Rateversuche in kurzer Zeit hintereinander zu starten, was somit die Sicherheit erhöht.

Sorry, aber ich widerspreche entschieden. Die Sicherheit wird durch solche Maßnahmen keinesfalls erhöht.

Der einzige limitierende Faktor bei Brute Force sind die verfügbaren Ressourcen: CPU-Serverleistung und Bandbreite ins Internet. Denn wer es drauf anlegt, in kurzer Zeit zu bruteforcen, der wird kaum so idiotisch sein, das von zuhause mit seiner popeligen DSL-Leitung zu versuchen, sondern er wird Bot-Netze ansetzen. Und wahlweise massivst (bis zur Auslastung der Serveranbindung) oder eben subtil (von den unterschiedlichsten IPs, je IP aber nur mit wenigen Versuchen) vorgehen. In keinem Szenario dürfte die Antwortzeit des Servers (seien es Verzögerungen oder Sperren) irgendeine Relevanz haben.

Wobei es beim "Aufmachen" von FTP-Accounts ja nur sehr selten wirklich auf einen konkreten Account ankommt, sondern es viel eher um Zufallstreffer geht, die in den Massen von Servern und Accounts gefunden werden. Der beste Schutz liegt daher ganz schlicht in der Nutzung eines hinreichend sicheren Passwortes.

- Sven Rautenberg