mboost-dp1

unknown

Når sikkerhed er en Cliche

- Via ABC news - , redigeret af Net_Srak

newz.dk har i denne uge med hjælp fra vores brugerskare kunne afsløre at webhotel udbyderen Cliche.dk har generelle problemer med sikkerhedsindstillingerne på deres webservere.

Problematikken er at sikkerhedsindstillingerne som tildeles en bruger ikke er gode nok. En bruger kan derved gennem egne scripts tilgå områder på cliche’s servere, som vedkommende ikke burde have adgang til.

Nu viser det sig også, at serverne gennerelt ikke er opdateret med seneste releases af blandt andet PHP.
‘PHP Development Team’ anbefalede allerede 15. december 2004, at man opdaterede til PHP version 4.3.10 eller 5.0.3 – alt efter om man kører PHP4 eller PHP5, for som de skriver:

”These are maintenance releases that in addition to non-critical bug fixes address several very serious security issues”.

Blandt rettelserne i opdatering er: “CAN-2004-1063 – safe_mode execution directory bypass.”

Cliche’s servere har en ældre PHP version installeret, hvilket bidrager til sikkerhedsproblematikken omkring deres webhosting.

newz.dk har ved flere lejligheder kontaktet cliche.dk pr. email, men har indtilvidere kun fået svar på vores henvendelse angående en liste med kundernes brugernavne og passwords, som ligger på usenet – de skulle være rettet i følge cliche.

Cliche er dog ikke den eneste udbyder af webhoteller, som har problemer med sikkerheden. Vi har efterfølgende modtaget henvendelser om konfigurationsproblemer hos andre udbydere.

Opdatering:
Det har vist sig, at det stadig er muligt at få adgang via enkelte af de passwords som står i den omtalte liste. Newz.dk har taget kontakt til de berørte kunder, som selvfølgelig bør ændre deres password ASAP og evt. bede Cliche om en forklaring.

Opdatering: Jf. udtalelse fra fra Morten Bonavent i Computerworld, så er der nu gennemført omfattende sikkerhedsopdateringer.





Gå til bund
Gravatar #51 - TheUnknownSaint
12. aug. 2005 15:44
#49 > Ja, nogle flinke og troværdige newz.dk medlemmer kunne da sagtens lige gå listen igennem (den kan jo hentes på nettet, ikk? ) og sende mails ud til alle de webhoteller som synligt har en email på deres side... og advarer dem... Det ville helt sikkert vække opsyn hos cliche.dk, enten når de mister utroligt mange kunder, eller når der kommer telefonstorm.
Gravatar #52 - ThomasD
12. aug. 2005 15:57
#37
Dårlig reklame er bedre end ingen reklame. Dårlig reklame er billigt. Det kan jo være, at de er i pengenød og derfor forsøger sig med dårlig reklamer. Den strategi er tidligere set fra andre virksomheder.
Gravatar #53 - carthain
12. aug. 2005 16:02
offtopic:
#47
ham der skrev de skadelige lænker der skrev i gæstebogen hedder Daniel og kalder sig pingvinen. hans hjemmeside er v5.dk og han har længe ligger i åben krig med cybermike. utroligt de ikke kan løse deres problemer som voxne mennesker!
Gravatar #54 - ThomasD
12. aug. 2005 16:02
``Man skal med andre ord, ikke have noget vigtigt liggende på et discount-webhotel.''

Man skal ikke have noget vigtigt liggende på nogen maskine med adgang til et usikkert netværk som internettet, hvis det ikke må komme ud til offentligheden. Så er det underordnet, om det er discount eller ej. Der findes utroligt mange dyre webhoteller som er lige så usikre.
Gravatar #55 - egil
12. aug. 2005 16:08
Hvad med at holdet her på newz.dk tager kontakt til den "normamle" presse, og giver dem historien. Så skal i se der sker noget :)
Gravatar #56 - ali babba
12. aug. 2005 16:11
#55 ja, peter_m jeg mener nok EB gir 500 kr for sådan en historie, eller det gjorde de hvert fald for ik ret lang tid siden

#0 hvordan kan i tillade jer at sige at alle discount hoteller har ringe sikkerhed !?

kom igen peter_m og newz.dk
Gravatar #57 - LeonM
12. aug. 2005 16:20
#55 Hermed gjort (eb) ! Spændende om de reagere *gg*

:) Leon
Gravatar #58 - L-T-L
12. aug. 2005 16:41
heh har et webhotel hos cliche, indsendte en opsigelse for 1 års tid siden, som jeg fik en bekræftigelse på... men webhotellet virker stadig (har ikke redelegeret domænet da jeg ikke bruger det) sært nok.

mht. sikkerheds problemmt så er det jo en gammel kending :)
kan huske vores testserver på noea var sat op med de samme problemer (2 år siden)..
Gravatar #59 - barium
12. aug. 2005 16:47
Dette kan man også gøre på enavn's webservere, et kort php script giver adgang til andre mapper. Fra mit arbejde kontaktede vi dem og konfronterede dem med det, men deres svar var simpelt de var klar over det og havde ikke tænkt sig at ændre det.
Gravatar #60 - Blinklys
12. aug. 2005 17:16
Som kunde hos et webhotel bør man forvente at ens data er private og sikret. At man som discount-webhotel ikke kan garanterer en superhurtig forbindelse og 99,9% oppetid er okay, men at slække på sikkerheden er der simpelthen ingen undskyldning for! I den tidligere tråd ser man ligefrem, at Cliche melder tilbage, om at de har løst problemet, hvorefter det hurtigt bliver testet og konstateret at det ikke passer. Jeg tvivler meget på om de overhovedet er kompentente nok til at drive et webhotel. Jeg synes det ville være på sin plads, at stille nogle krav til webhotellerne - det gør man jo allerede i mange andre brancher. En e-mærke ordning eller et smiley-system ville bestemt heller ikke være dårligt.

#59
Et webhotel, der giver ydtryk for sådan en holdning burde IMO kunne meldes til myndighederne, og blive truet med bøder eller lignende, hvis de ikke løser problemet.
Gravatar #61 - Pernicious
12. aug. 2005 17:19
For god ordens skyld, så er sidste kommentar i nyheden fjernet. Ikke at den som sådan var forkert, man får som regel hvad man betaler for, men det er korrekt at den nok ikke var så objektiv.
Gravatar #62 - morgenkaffe
12. aug. 2005 17:31
Det er dejligt at der skrives lidt om emnet.. Håber cliche ser og lytter til dette her. Så de får opdateret deres servere..
Gravatar #63 - LeonM
12. aug. 2005 17:33
#60 Uanset hvor dygtig man er (stor/lille) så vil der altid kunne forekomme en "ups". Sådan som jeg ser det med den her historie så er problemet langt større end at de lige har kvajet sig med denne her. Hvis det var her i firmaet så var der en It-mand som havde MEGET røde øre og godt kunne påregne en hel del overarbejde indtil problemet var løst !

Man må, som firma, tage seriøse henvendelser til efterretning og agere fornuftigt på dem, at man bare ignorere er helt forkasteligt, det tyder på at den her virksomhed ikke kommer til at eksistere så længe.

:) Leon

NB. Sorry min måde at stave "henvendelser" på i tidligere indlæg *gg* Google er din ven (mente du...)
Gravatar #64 - DUdsen
12. aug. 2005 17:57
#60 et webhotel er netop det et webhotel hvor man kan *Offentligtgøre* hjemmesider, ikke et sted man smider statshemmeligere eller gemmer vildt private ting.
I de gode gamle dage før asp/php og den slags havde men slet ikke problemet der var der nemmeligt ikke noget der hed hemmeligt.
Jeg kan så godt se problemer med at fremmede folk kan få administrator rettigheder til ens side ved at læse i de dele af et script der indeholder passwordet men så er det altså heller ikke værere.
Gravatar #65 - mrmorris
12. aug. 2005 18:13
#64 I mit tilfælde, har jeg kun én MySQL konto (unoeuro.dk) og ingen mulighed for at oprette en "www_user" som er restriktiv nok til kun at kunne udføre DML queries. Derfor vil jeg (og sikkert mange andre) være meget sårbar for sådanne fejl. Skulle nogle tvinge sig adgang til min DB connection klasse, vil det give dem rettigheder til at nedlægge hele min DB!
Gravatar #66 - Mnc
12. aug. 2005 18:14
Tror lige jeg skriver til cliche og hører hvornår der skal betales næste gang...
Og samtidigt leder efter et andet hosting site..!
Gravatar #67 - Redeeman
12. aug. 2005 21:04
den liste der ligger på usenet er den som jeg fik ud på mit domaine, metanurb.dk :) efter jeg gjorde det dengang, var deres w2k server mit domaine var hosted på nede i cirka et måned, hvorefter de disablede php i w2k.

de passwords på usenet stammer fra en mdb database, ukrypteret med alle informationer
Gravatar #68 - Redeeman
12. aug. 2005 21:08
og, selv efter de gjorde det, og det var mere end et år siden de opdagede det, så bare for et par måneder siden var nogle koder stadig det samme.

cliche er simpelthen de mest slattende man kan komme ud for
Gravatar #69 - Blinklys
12. aug. 2005 21:16
#60 Jamen så er vi jo helt enige kan jeg se :) Jo der vil altid være "upser" lige meget hvor dygtig en administrator man er - ingen er perfekte. Men i Cliches tilfælde tror jeg ikke på at fejlen er en "ups". Enten er de klar over sikkerhedsproblemet og gider ikke gøre noget ved det, eller også ved de simpelthen ikke hvordan de skal sikre deres servere.

#64
Jeg ved godt at webhoteller ikke er til statshemmeliger eller private ting, men jeg ser stadig ikke hvorfor det skulle være en undskyldning for at være ligeglad med sikkerheden.
Gravatar #70 - amokk
12. aug. 2005 21:16
jeg har tidligere i dag lavet et PHP script og kørt kørt listen fra usenet igennem, og trukket de en liste af domæner ud, som stadig bruger samme password som på listen.

Jeg har derefter sendt en email på newz.dk's vegne, til info og webmaster @ de domæner på den udtrukne liste - det bliver spændende at se nogle reaktioner på dette :-)

#64 ehm... tal du med datatilsynet om den holdning. menigen med et webhotel er at offentliggøre det du selv ønsker at offentliggøre, ikke at andre skal kunne hente dine scripts, ændre indholdet af et domæne i dit navn, eller finde dine personlige oplysninger som tlf. email, betalingsoplysninger osv.

#69 regn med det sidste, ellers var det nok løst for længst :-) kunne være interessant med en test sikkerheden af nogle af de andre firmaer på samme adresse.

godt nok har ejeren tilsyneladende lukket for DNSen til www.bona.dk, så man ikke længere kan gå ind og se hvilke der deler hus med cliche... godt vi har google cache

#67 måske ikke skide smart at indrømme i et offentligt forum men det er jo dit valg....
Gravatar #71 - warren
12. aug. 2005 22:52
#55
Det foreslog jeg allerede i den anden tråd, den er sikkert nok bare blevet overset i mængden af post http://newz.dk/forum/item/57674/#119

#57
Ej hvor sejt, glæder mig til at se hvad der kommer til at ske, håber det bliver forside stof...
Gravatar #72 - mads h.
12. aug. 2005 22:53
Jeg er ejeren af domænet www.silkeborg-united.dk. Alt er væk for os og vores ftp-koder er ændret. Cliché kan man selvfølgelig ikke få fat i før mandag kl.10:00.
Jeg har ikke meget forstand på alt dette og arbejder udelukkende gennem et cms-system.
Irreterende at dette lige præcis skulle ramme os - vi er en lille fodboldklub i Silkeborg, der lagt fra ønsker at være blandet i ind i alt dette.
Men det her bliver Cliché´s problem - enten udreder de dette, kommer i avisen eller bliver meldt til politiet.
Jeg vil gerne have en kopi vedrørende advarslen til Cliché, samt den efterfølgende kommunikation.
Sendes til: [email protected]
Håber newz.dk vil være os behjælpelig - på forhånd tak!
Gravatar #73 - JoBr
12. aug. 2005 22:54
Klokken er nu 00:54, og cliche.dk svare ikke...

Måske de er igang med en opdatering??

EDIT:: #72, måske er jeres ting ikke væk, men cliches servere svare bare ikke lige pt, så www.silkeborg-united.dk svare selvfølgelig heller ikke lige pt.
Gravatar #74 - Redeeman
12. aug. 2005 22:57
#72:
hvis du er på listen på usenet beklager jeg, det var ikke mig der postede den til usenet, jeg ved ikke hvem det er
Gravatar #75 - Twister22
12. aug. 2005 22:58
hmm har de bare lukket alt ?

http://www.google.dk/search?hl=da&q=cliche.dk&...

ikke noget liv i de sider der er "Hosted by..."
Gravatar #76 - BurningShadow
12. aug. 2005 23:02
Følg linket i #75
Find link nr. 8
"Cliche dk - Sikker og Billig Hosting!"
*poptøze fnis*


[edit]
Hvorfor fanden skal newz altid køre så skide forbandet langsomt, på denne tid af døgnet? Det starter hver aften, lige omkring kl. 01.00
[/edit]
[edit2]
Nå, så kom der lidt fart på igen :-)
[/edit2]
Gravatar #77 - mrmorris
12. aug. 2005 23:14
#76 Mon ikke det er når der kommer tilpas mange indlæg (> 70) det begyder at sløve. På min 4mbit linie tog det 22 sek at loade siden og det er jo pænt lang tid for en alm. GET session.
Gravatar #78 - JoBr
12. aug. 2005 23:15
#76

Personlige synes der ikke at værenogle problæemmer med hastigheden her.

På den anden side så er det vel om natten at servere update, indexer, osv.. men det burde ikke tage så meget preformance.

MVH
cenzole
Gravatar #79 - mads h.
12. aug. 2005 23:17
Ja alt lukket af - vi kan ikke komme ind på en skid. De må jo have en backup af vores site.
Gravatar #80 - JoBr
12. aug. 2005 23:21
#79

Det handler ikke om backup... Den computer hvorpå din hjemmeside ligger, er bare "slukket"/eller i hvert fald ikke tilgængelig fra internettet pt.

Den kommet efter min beste overbevisning op inden i morgen tidelig. Alt andet vil være højst uacceptabelt.(jeg ved hvad i tænker.... :) )

cenzole
Gravatar #81 - warren
12. aug. 2005 23:24
#75
Ja, det kunne godt se sådan ud, på den samme side du linker til, findes der osse denne email korrespondance

off topic;

Nogen der kan forklare mig hvorfor webhosts skrive fritrafik, når de ikke mener det alligevel ???
Gravatar #82 - mads h.
12. aug. 2005 23:27
Håber du har ret.
Nu vil jeg gå i seng og håbe at alt er løst, når jeg står op.
Tak for hjælpen!
Gravatar #83 - BurningShadow
12. aug. 2005 23:30
#81

Det undrede jeg mig også over engang (det med fri trafik), så jeg ringede til en for at spørge, og svaret var skræmmende; Der er fri trafik (det sagde de sgu!) så længe det er under 10GB. 10GB er så meget at de fleste folk aldrig kommer bare i nærheden af at bruge det på en måned, så derfor skriver de det.
Jeg kan bruge 10GB på en meget lille weekend, så den forklaring syntes jeg ikke var helt god, hvilket de dog havde ikke meget forståelse for ;-(
De fastholdt at for de fleste mennesker, der er 10GB faktisk "fri trafik"...

Konklutionen må være at de skriver det fordi der lyder smart...
Gravatar #84 - mrmorris
12. aug. 2005 23:32
#81 Forretningsmodellen er fri trafik (altså ikke pr. MB). Man kan vel godt forstå at der er en øvre grænse, ellers ville det simpelthen ikke kunne løbe rundt. Det handler i sidste ende om quality of service overfor deres øvrige kunder.

Om 2GB så er for lav en begrænsning om dagen, er en anden sag. Lidt frækt at lukke hendes konto efter kun 2 dage dog!
Gravatar #85 - Yssing
12. aug. 2005 23:34
Skod, og her har man 3 klubber, 1 organistaion og eget firmas hjemmeside liggende hos Cliche. Jeg er sådan set ligeglad med deres sikkerhed, men jeg er ikke ligeglad med at mine sider ikke virker, og det er sket mange weekender.. Meget meget dårligt, måske man skulle sagsøge dem for kontraktbrud. De garantere jo en meget høj "oppe tid"

En anden ting, kunne folk ikke lade være med at "bolle" det danske sprog som man gør. Man bliver altså ikke klogere af at blande engelske udtryk ind i en dansk sætning, da slet ikke når der bl.a. findes danske ord for "disabled". Eller er det kun mig der syntes det er til dumpekarakter i dansk?

#70 >> Selvom man kan gøre, bør man ikke gøre, det kan jo være det er ulovligt at fremtvinge sig andre folks kodeord og brugernavne. Måske det er stafbart. Personligt ville jeg syntes er ret trælas at du bare for sjov prøver at finde bl.a. mine kodeord og brugernavne frem, blot for at bevise noget. Man kan jo også røve en bank, men det er stadig ikke tilladt.
Gravatar #86 - BurningShadow
12. aug. 2005 23:37
#85

Nu ved jeg ikke hvordan du taler, men med stor sansynlighed så røvpuler du selv det danske sprog, når du åbner munden.
Jeg hører ofte "ord" som:
Poblemer
Povokerende
Pojekter
Poblematisk
Gravatar #87 - Yssing
12. aug. 2005 23:41
#86 >> Jeg prøver at undlade at "røvpule" sproget, men personligt msiter jeg eller bytter jeg om på nogle bogstaver, det især når jeg taster hurtigt. Men jeg gør alt hvad jeg kan, for at undlade at blande engelske ord ind i en ellers dansk sætning :) Men jeg kan da heller ikke undsige mig fra det.

Du har sikkert også mange andre eksempler på ord, hvor bogstaver bliver udeladt eller glemt...
Gravatar #88 - mrmorris
12. aug. 2005 23:42
#85 Specielt i nørd-verdenen er det nu engang svært at holde sig til tumpede fordanskede ord. Vi har f.eks. ikke en direkte oversættelse af "default", ligesom vi bruger "backup" istedet for "sikkerhedskopi" osv. osv. Der er nu nok heller ikke mange lægmænd herinde.

Jeg er lidt modsat dig, irreteret over de tumpede danske ord jeg er pålagt at bruge af lægmænd/autodidakte når jeg skriver dokumentation til software-projekter.
Gravatar #89 - Yssing
12. aug. 2005 23:44
#88 Det er jo ikke et sprøgsmål om lægmand.
Default = Standard
Gravatar #90 - BurningShadow
12. aug. 2005 23:45
#87

Problemet er når folk konsekvent undtader at udtale et bogstav. Det kan virkeligt ødelægge en hel sætning, når en eller anden siger "poblemer" uden "r".
Jeg taler ikke om når folk skriver, for naturligvis kan et enkelt bogstav smutte, jeg taler om når folk snakker. Prøv (endnu et af de ord folk ikke vil udtale. De siger ofte "pøv", uden "r") at lytte efter, næste gang du snakker med en ;-)
Gravatar #91 - Yssing
12. aug. 2005 23:46
#67 >> Måske du ikke skal være overrasket over at få en politi anmeldese på halsen så, det du beskriver du har gjort, er jo faktisk hamrende ulovligt. Det kan give mange år i spjældet.
Faktisk vil jeg da opfordre Cliche og andre der har været påvirket af dit "sjove" påfund at melde dig.
Gravatar #92 - Yssing
12. aug. 2005 23:47
Burningshadow >> helt enig, det er ikke til at høre på. Værre er det når folk skriver med SMS sprog "C d r noet ps"
Gravatar #93 - JoBr
12. aug. 2005 23:48
#85

På mig virker du en smule grøn, naiv og uvidende.... Synes dit syn på sikkerhed er skræmmende... Og at amokk gør folk opmærksomme på er deres loginoplysninger er tilgængelige på usenet, det synes jeg meget positivt... Manden har faktisk brugt noget tid på det her i en god sags tjeneste... Med henblik på persondataloven, er det cliche der har overtrådt dansk lovgivning, ved ikke at sikre sine kunder "følsomme" data godt nok. Jeg synes du lukke, lytte og lære...

De bedste hilsner
\\cenzole
Gravatar #94 - mrmorris
12. aug. 2005 23:50
#89 Ja sådan vil de fleste oversætte til dansk, men der ligger nu mere i default end standard! Default er snarere et begreb for noget der sker automatisk, hvis et alternativ ikke er angivet:

"Upon restart, the system will default to runlevel 4"
Gravatar #95 - Yssing
12. aug. 2005 23:51
Cenzole >> Nu har jeg arbejdet med IT i mange år, og er derfor ikke grøn, men hvis det er din konklusion, så dig om det.

Det er stadig ikke lovligt, selvom man kan, at frigive andres kodeord og brugernavne. Så kan nok så meget mene at jeg skal lukke, lytte og lære. Det gør det ikke mere lovligt.
Nu gør han dem jo heller ikke kun opmærksom på at de er tilgængelige, i følge hans egne udtaleser, var det ham der gjorde dem tilgængelige...
Gravatar #96 - amokk
12. aug. 2005 23:52
burningshadow: det er fordi newz.dk kører eller andet cron job omkring kl 1. (opdatering, oprydning, indeksering whatever)

#85 grunden til at man bruger ord som disabled, er fordi det er dette ord som står det relevante sted f.eks. i softwaren. ved ikke at begynde på at oversætte ordene, minimerer man risikoen for misforståelser, bare prøv at sammenligne indstillings-vinduet i en dansk og engelsk IE :-)

#81 enig, jeg tror ikke den holder i retten at de skriver fri trafik. Men generelt overholder webhotellerne ikke ret meget. Jeg så en gang et banner for et webhotel, tror det var Cliche, hvor der står 10 kr pr måned. Jeg skrev så en mail til dem og spurgte hvorfor det blev til 12,5 kr pr måned når jeg skulle betale, og fik et hånligt svar om at det sgu da var fordi der kom moms oven i, det burde jeg kunne regne ud. Det sjove var bare, at der ikke stod noget om at de 10 kr var ex moms på det banner jeg klikkede på, hvilket er i strid med markedsføringsloven.

#85 sikkerheden er nødvendig for at din side har høj oppetid. dårlig sikkerhed=folk kan smadre din side som de vil
Gravatar #97 - Yssing
12. aug. 2005 23:53
Upon restart, the system will default to runlevel 4 = Ved genstart, vil systemet standard køre grad 4. Man kan godt, men i det her tilfælde, kunne man så godt argumentere for at runlevel, er et navn, der ikke kan oversættes, men det kan default altså godt.
Gravatar #98 - Yssing
12. aug. 2005 23:56
Det er muligt folk kan smadre min side som de vil, de kan også smadre mit hus som de vil. det gør det ikke mere lovligt.
Hvorfor er det I mennesker tror at det er lovligt, blot det sker på internettet?

Lad nu den med sproget ligge, vi bliver aldrig enige alligevel. Så er det nytteløst. På den måde vinder vi alle.
Gravatar #99 - ZOPTIKEREN
12. aug. 2005 23:57
#97
Nu er default jo altså et dansk ord og behøves ikke udskiftes med et andet ord. Men skulle du ikke tage et oprette en debat i newz.dk/tagwall til den diskusion? Det er utroligt offtopic.
Gravatar #100 - JoBr
13. aug. 2005 00:05
#99

Lige for at slå det definitivt på plads

http://www.dsn.dk/cgi-bin/ordbog/ronet?S.x=0&S...

cenzole
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login