WBCE CMS Forum

muth-ah

Mitglied

"Sicherheitsverletzung!! Zugriff wird verweigert!"

Im WBCE Paket fehlt noch ein FIX aus WB 2.8.3, um diese unberechtigte Fehlermeldung und Blockade von Eingaben zu vermeiden. Mehr dazu unter bei vektorkneter.de
MfG

florian

Administrator

Re: "Sicherheitsverletzung!! Zugriff wird verweigert!"

Der Fehler tritt nur unter sehr speziellen Bedingungen auf. Im nächsten Release werden wir auf den Single-Tab-Modus verzichten und in dem Zuge dann auch diese Angelegenheit angehen.

Mittels des angefügten Scripts (entpacken, per FTP in den Root der Website übertragen, 1x im Browser aufrufen, per FTP wieder löschen) lässt sich das Fingerprinting auch ohne Alternativbrowser deaktivieren. (Das ist also kein Patch, sondern nur ein Script, um die betr. Funktion zu deaktivieren.)

Beitrag geändert von florian (11.10.2015 13:13:25)

---

Wir Benötigen: Cents, Euros... jetzt spenden!

norhei

Developer

Re: "Sicherheitsverletzung!! Zugriff wird verweigert!"

Erst einmal zum Thema des alten Problems aus dem Blog und dem WB Forum.

um diese unberechtigte Fehlermeldung und Blockade von Eingaben zu vermeiden. Mehr dazu unter bei vektorkneter.de

Also erst einmal wenn ich mich recht erinnere ist diese Meldung überhaupt nicht unberechtigt . Es gibt eine einen Bug in Chrome bei dem sich ein Teil der vom Browser übertragenen Spezifikationen immer wieder  ändert.  Da eine solche Änderung nun im Normalfall bedeutet , das jemand einen anderen Browser benutzt als der ursprüngliche Benutzer, schlägt das System Alarm und verweigert die Mitarbeit. Nebenbei bemerkt alle anderen CMS hatten das Problem auch sobald sie Fingerprinting  genutzt hatten.

Dieses Fehlverhalten tritt nur bei einigen wenigen aufeinanderfolgenden Chrome Versionen auf und ist meines Wissens nach längst gefixt (Arbeite selber mit Chrome und Chromium). Also wäre in diesem Fall der korrekte Fix ein Update für Chrome nicht für WB

Nur wenn das keine Option ist, kann man das Fingerprinting deaktivieren, entweder mit einem anderen Browser, oder mit dem Patch von Florian. Der alte Fix aus dem WB Forum hat soweit ich mich erinnere letztendlich nur heimlich das Fingerprinting in großen Teilen deaktiviert. Nebenbei ist der Link tot.

Der Nachteil ist halt eine geringere Sicherheit(Nicht verheerend, aber ich würde persönlich nicht  drauf verzichten Fingerprinting zu nutzen)

Ein CMS komplett zu Patchen weil eine dämliche ältere Browser Version im Backend Ärger macht ist , naja, keine wirklich gute Entscheidung, zumal der Patch immer nur durch deaktivieren der Sicherheits Funktion stattfinden kann. Und abschalten kann man Die sowieso.

Generell stelle ich mir die Frage ob Fingerprints default mäßig aktiviert oder deaktiviert sein sollten? Das ist aber eher eine Politische Entscheidung und keine Technische.

Wenn sich das Problem nicht durch ein Browser update lösen lässt!
Ist es möglicherweise ein sinnloses Browser Plugin das angeblich Spuren verwischen soll, oder es ist tatsächlich was Neues!
Dann wäre es natürlich interessant das weiter zu verfolgen.

muth-ah

Mitglied

Re: "Sicherheitsverletzung!! Zugriff wird verweigert!"

Hallo,
das Problem tritt hier in Spanien bei verschiedenen WiFi Anbindungen (Campingplatz) in Firefox (mein Standard Browser) und in Chrom auf. Ich vermute, weil die WiFi Verbindung ständig überprüft und erneuert wird. Nachdem ich jetzt Fingerprint abgeschaltet habe, kommt die Blockade nur noch ganz selten vor.
Als Laie kann ich nur einen Fehler beschreiben, so wie ich ihn erlebe. Falls Informationen fehlen, bitte nachfragen.
Gruß aus Spanien

florian

Administrator

Re: "Sicherheitsverletzung!! Zugriff wird verweigert!"

Merkwürdig. Aber auf'm Campingplatz soll man ja eigentlich auch Urlaub und nicht Content-Management machen ;-)
Nein, im Ernst: Dieses Fingerprinting ist eh nicht der Weisheit letzter Schluss. In WBCE 1.1 wird das Fingerprinting daher standardmäßig deaktiviert sein (kann aber bei Bedarf übers Admintoll aktiviert werden).

---

Wir Benötigen: Cents, Euros... jetzt spenden!

webbird

Administrator

Re: "Sicherheitsverletzung!! Zugriff wird verweigert!"

Ich kenne das Problem, weil ich "hinter" einem Load Balancer "sitze", durch den sich bei jedem Zugriff die IP ändert. Daher würde ich persönlich beim Fingerprint auch keine IPs einbeziehen. Ist aber wirklich ein schwieriges Thema.

---

Ich habe eine Amazon-Wishlist. Oder spende an das Projekt.
Ich kann, wenn ich will, aber wer will, dass ich muss, kann mich mal

norhei

Developer

Re: "Sicherheitsverletzung!! Zugriff wird verweigert!"

Wie Florian schon sagte, bei der nächsten Version ist Fingerprinting erst mal aus!
Temporär hilft natürlich abschalten.

Fingerprinting ist eigentlich eine wirklich gute Methode. Wenn der Fingerprint sich ändert ist Etwas  nicht in Ordnung.
Für Anwendungen die eine gewisses Sicherheits Niveau haben möchten eigentlich unumgänglich. 

Leider werden solche Maßnahmen in letzter Zeit immer mehr untergraben;
Mobilprovider nutzen eine IP für tausende Teilnehmer.
Schlecht konfigurierte Loadballancer sorgen für ständig wechselnde IP.
Schlecht konfigurierte Router machen alles noch schlimmer.
Proxys filtern nach belieben Daten.
Jetzt kommen demnächst noch superschlaue Adblocker/Trackblocker Spinner dazu, die sich Scripte schreiben, die bei jedem Aufruf die Browserdaten ändern. (Teilweise verlangen Leute das Browser sowas als Standard implementieren sollen) Das führt dann natürlich das übermitteln von Browserdaten komplett ad absurdum.(Lustigerweise können diese Maßnahmen leicht umgangen werden und was ein richtiger Tracker ist, der verlässt sich da sowieso nicht drauf.)

Alles in allem Sicherheit wird erschwert und Tracking funktioniert natürlich weiter...

Naja, wenn man mal alles zusammenfasst kann ich jedem nur raten, wenn er hohe Sicherheit braucht, sich entweder einen Provider zuzulegen der diese Probleme nicht hat oder, die vielleicht beste Lösung derzeit, einfach die Seite komplett nur noch über SSL zu betreiben. (Google empfiehlt das ja auch.)

Edit: Der Letzte Satz klang mir zu arrogant deswegen hab ich ihn präziser formuliert.