-
Hardwareluxx führt derzeit die Hardware-Umfrage 2026 (mit Gewinnspiel) durch und bittet um eure Stimme. Unter allen Teilnehmern verlosen wir eine aktuelle Grafikkarte Eurer Wahl bis 1099 EUR.
[Feedback] Hardwareluxx 4.0 Forum
- Ersteller King Bill
- Erstellt am
Einfach mal Cookies im Browser Löschen.
Sannyboy111985
Enthusiast
- Mitglied seit
- 19.08.2016
- Beiträge
- 246
Das ist natürlich grundsätzlich nicht schön.
Mir erschließt sich aber nicht wo der Sicherheitsgewinn herkommen soll, wenn die Bad Guys sich über eine „Quelle“ mit verschiedenen validen Credentials anmelden konnte. Das würde nicht das ändern des Passworts verhindern und im Zweifel nur den rechtmäßigen Nutzer endgültig aussperren…
Rudi Ratlos
Urgestein
- Mitglied seit
- 21.10.2008
- Beiträge
- 3.039
...oder NSA, dein Freund und Helfer....Musste kurz den Typen im Darknet fragen, was mein bisheriges Passwort war. Ansonsten alles ok
G
Gelöschtes Mitglied 155041
Guest
Ist immer noch ein Scare-Banner übrig. Ich solle doch bitte ein sicheres Passwort wählen. Was ist das???
Es gibt keine 'sicheren' Passwörter das ist die Illusion-Trap. Es gibt nur kryptografische Schlüssel mit Zero.Knowlege Policies.
Beitrag automatisch zusammengeführt:
Es gibt keine 'sicheren' Passwörter das ist die Illusion-Trap. Es gibt nur kryptografische Schlüssel mit Zero.Knowlege Policies.
Wir sind hier im Luxxx, was erwartest Du? Hier geht es um Hardware-Voyeurismus und mehr darf man nicht erwarten.
schnipp959
Urgestein
Schön zu sehen, das auch einige andere sich gewundert haben. Ein bisschen Berufs Paranoia
superdoodle
Enthusiast
- Mitglied seit
- 25.10.2019
- Beiträge
- 1.430
Da muss ich dir mal Recht geben.
Wie kann man die user mit so einer Änderungsmaske verunsichern, statt einfach mal eine Mail über den Verteiler oder eine, wenn auch nicht werbewirksame, Info über das Portal schalten?!
So eine Aktion sieht nach Panik aus und obendrein danach, als wäre längst sicher, dass es ein Leak war/ist.
So eine Aktion sieht nach Panik aus und obendrein danach, als wäre längst sicher, dass es ein Leak war/ist.
Sannyboy111985
Enthusiast
- Mitglied seit
- 19.08.2016
- Beiträge
- 246
Mein Hinweis sollte bitte positiv konstruktiv aufgefasst werden, i.S.v. Verbesserungsfähig.
Ich begrüße es, dass die Betreiber Maßnahmen zur Cybersicherheit ergreifen und auf Ereignisse mit Maßnahmen reagieren!
Aus meiner Sicht, als jemand der sich beruflich mit Cybersicherheit und Compliance beschäftigt, sollten zwei Aspekte für die Zukunft verbessert werden:
Gerne beantworte ich auch Rückfragen oder gebe Verbesserungsvorschläge im Rande der Möglichkeiten des Moderation Teams und des Forums sind im direkten Austausch
Ich begrüße es, dass die Betreiber Maßnahmen zur Cybersicherheit ergreifen und auf Ereignisse mit Maßnahmen reagieren!
Aus meiner Sicht, als jemand der sich beruflich mit Cybersicherheit und Compliance beschäftigt, sollten zwei Aspekte für die Zukunft verbessert werden:
- Die Information sollte vorab bzw. ohne erzwingen eines Passwortwechsel verfügbar sein. Insbesondere hätte ein Angreifer auf das Forum als solches den Passwortwechsel nutzen können um die aktuellen legitimen Passwörter statt der Hashes abzugreifen. Ja dazu wäre vermutlich eine Anpassung an der Forensoftware nötig, aber dank VibeCoding auch keine nennenswerte Hürde… das wäre insbesondere für alle die Passworte mehrfach nutzen einen erheblichen Schaden, auch wenn die Nutzer dann nicht ganz unschuldig an ihrem Schaden wären. Mir ist bewusst, das die letzte Aussage durchaus kontrovers aufgefasst werden kann, aber das mehrfache nutzen von Passwörtern ist weit abseits von Best Practices. Ich würde hoffe dass dies vielen Nutzern hier im Luxx bekannt ist.
- Der Passwortwechsel hat keinen Sicherheitsgewinn. Der Angreifer, der sich erfolgreich einloggen konnte, verfügt über das Passwort und kann diesen entsprechend ändern. Ein Sicherheitsgewinn entsteht, wenn das Passwort über eine E-Mail bestätigt werden muss, respektive nur über einen Link aus einer E-Mail zurückgesetzt werden kann. Bedingung ist, dass der E-Mail-Account nicht kompromittiert ist oder das gleiche Passwort benutzt wie das Forum.
Gerne beantworte ich auch Rückfragen oder gebe Verbesserungsvorschläge im Rande der Möglichkeiten des Moderation Teams und des Forums sind im direkten Austausch
oldsqlBeat
Enthusiast
Für was sollte man son Müll nutzen, einfach das Gehirn benutzen
Sir Ozelot
Urgestein
Wieso geht mein Passwort 12345 nicht mehr
G
Gelöschtes Mitglied 155041
Guest
^^war vielleich doch nur 1234 ???
Rudi Ratlos
Urgestein
- Mitglied seit
- 21.10.2008
- Beiträge
- 3.039
Das steht aber ausdrücklich nicht in dem Posting hier!!!!!!!!
Deshalb doch die Frage, ob es einen Grund dafür gibt, und die Antwort lautete "NEIN"!!
ElectricDay
Legende
Nicht transparent? ich bekomme die ganzen Pw Meldung/en gar nicht mehr weg.
Ich muss gestehen, es war bei mir auch höchste Zeit das Passwort zu einem etwas sicheren zu ändern. Von daher nicht wild.
Nur, dass ich den Link zum Grund nicht aufrufen konnte, ohne die Seite in einem Container zu öffnen, war etwas doof. Auch hätte ich mir irgendeinen besseren Grund gewünscht, der war doch etwas Schwach und kein Wunder wieso viele eher genervt davon sind. Irgendeinen tieferen Grund wird das doch sicherlich gehabt haben und den konnte man nicht kommunizieren? Es wird ja kein "Hm, wir könnten alle mal dazu zwingen ein neues Passwort zu setzen" Einfall aus Langeweile gewesen sein... hoffe ich doch. xD So lässt es Raum für Spekulationen wie meiner nicht ernst gemeinten gerade und das ist nie gut.
Nur, dass ich den Link zum Grund nicht aufrufen konnte, ohne die Seite in einem Container zu öffnen, war etwas doof. Auch hätte ich mir irgendeinen besseren Grund gewünscht, der war doch etwas Schwach und kein Wunder wieso viele eher genervt davon sind. Irgendeinen tieferen Grund wird das doch sicherlich gehabt haben und den konnte man nicht kommunizieren? Es wird ja kein "Hm, wir könnten alle mal dazu zwingen ein neues Passwort zu setzen" Einfall aus Langeweile gewesen sein... hoffe ich doch. xD So lässt es Raum für Spekulationen wie meiner nicht ernst gemeinten gerade und das ist nie gut.
Korrekt, wir Wissen es, machen es dann aber trotzdem nicht.
Zuletzt bearbeitet:
KurantRubys
Legende
Ich hoffe mal das ist SatireFür was sollte man son Müll nutzen, einfach das Gehirn benutzen
keine Ahnung wie ich mir *checks notes* 635 Einträge im PW Manager merken soll. Da sind auch Lizenzkeys und so mit bei, aber ja.
superdoodle
Enthusiast
- Mitglied seit
- 25.10.2019
- Beiträge
- 1.430
Wirklich unglücklich, ja. Wenn man direkt sieht "neues Passwort" vergeben, sieht eigentlich nach üblen Scam aus. Musste auch erstmal uneingeloggt nachschauen ob nicht nur mir das angezeigt wird. Hoffe da kommt noch etwas genaueres zu dem Thema von der Forenseite.
ElectricDay
Legende
Könnte sein, der verwendete Browser Safari teilt mir mit, All Inn gehen oder wird nichts mit Daten löschen.
Ich logge mich mal wieder aus und ein, mal sehen ob‘s wieder erscheint, bevor ich überall offline gehe. 
tbh es wäre eigentlich sinnvoll, wenn die Passwörter generell alle 2 Jahre oder so ablaufen würden. Gibt genug faule Leute (mich eingeschlossen) die sonst einfach nie ändern.
Stimmt, für einen Moment dachte ich das auch, aber zum einen habe ich HWL fest in einem Tab im Browser offen, kann also nicht die falsche URL sein, zum anderen auch direkt den Hinweis Link wegen des neu setzen des Passworts gesehen. Aber der erste Gedanke war auch erst mal: "Moment, ist das legitim oder ein Scamversuch?"
Aber ehrlich gesagt: sehr gut so! Zeigt mir, dass ich noch immer vorsichtig bin und nicht leichtsinnig werde. Kommt eh so selten vor, zumindest bei mir, dass man so etwas leicht vergessen könnte, aber wenn man so automatisch reagiert ist man wachsam unterwegs. Und das auch noch wo ich gerade erst aufgestanden war und noch nicht ganz wach.
Aber genug, sonst klopfe ich mir noch selbst anerkennend auf die Schulter.
G
Gelöschtes Mitglied 155041
Guest
Genau!!! Das ist einfach dummer terror. Ich bekomme auf das OAuth2 Token von Google gerade einen 403, also mein Token is prinzipiell korrekt aber leider invalide.>
Wie kann das sein, das ist mein GMail Account Token MFA ???
UNSINN!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!