Sicherheitsleck bei server.db und server.log

[netbreaker]

Hallo,

nachdem ich nach der Installation anfängliche Probleme bei der SA-Anmeldung hatte, hab ich mich mal in der server.db umgeschaut und festgestellt, daß dort alle Passwörter im Klartext abgespeichert werden. Das sollte eigentlich nicht so sein und dringend geändert werden. Wer macht sowas heutzutage eigentlich noch?

Das zweite damit zusammenhängende Problem ist, daß sowohl die server.db, als auch die server.log unter Linux standardmäßig chmod 644 hat und somit für jeden lokalen Benutzer lesbar ist.
Natürlich könnte man das 2. Problem auf den Admin des Servers abschieben, daß derjenige die Rechte entsprechend einschränkt, aber das sollte vom Programm selbst abgefangen werden.

Ich würde auch die initiale Passwortmeldung der Servers in eine separate Datei schreiben, chmod 600, damit diese vom Admin einfach gelöscht oder verschoben werden kann. Am besten auch hierzu eine Aufforderung dazu im Startskript.

verwendete Version: server_linux-2.0.24.1 unter Debian etch

Gruß
netbreaker

[bibabu]

Achja...wozu gibts eigentlich die Suche?

http://forum.teamspeak.com/showthread.php?t=34955&highlight=md5

[netbreaker]

Danke für den Tipp.

Wenn die Suche denn funktionieren würde, hätte ich sie auch benutzt. Ach ich merke grad, daß ich das falsche Suchfeld ganz rechts oben benutzt hab, aber "search forums" sollte ja eigentlich an der Stelle funktionieren. Die Forumsinterne Suchfunktion geht ja.
Ob sie auch auf meine Suchbegriffe gepaßt hätte wäre das nächste.
Ich hab dann nur nach den Themen im deutschen Bereich geschaut und nichts passendes gefunden.

Jetzt gibt es wenigstens ein Verweis aus dem deutschsprachigen Bereich darauf. ;-)
Aber sowas sollte nicht erst durch einen Patch sichergestellt sein, sondern Standard sein oder zumindest gleich bei Download/Installation darauf verwiesen werden.

Ich denke mal, das das den meisten gar nicht auffällt.

[bibabu]

Ich denke mal, das das den meisten gar nicht auffällt.

Ich verstehe auch die Aufregung nicht. Dann sind die Passwörter halt im Klartext abgelegt. Das ist doch kein Beinbruch. Ich verwende doch für den TeamSpeak nicht das gleiche Passwort wie für mein Email Postfach.

[Tobi2WO]

Ich bin sogar froh, dass sie im Klartext vorliegen. Es kommen regelmäßig Leute zu mir die ihr PW vergessen haben. Dann schau ich einfach nach und sag es ihnen anstatt immer eine neue Registrierung zu starten.

[netbreaker]

Ich verstehe auch die Aufregung nicht. Dann sind die Passwörter halt im Klartext abgelegt. Das ist doch kein Beinbruch. Ich verwende doch für den TeamSpeak nicht das gleiche Passwort wie für mein Email Postfach.

Vielleicht bin ich als SysAdmin in dem Bereich Sicherheit nur etwas mehr sensibilisiert. Ich halte das schon für ein Problem und sollte zumindest in der README erwähnt werden.

Ich verwende auch nicht grad das PW von meinem Postfach und auch nicht den gleichen Login-Namen. Aber sind wir doch mal ehrlich, keiner kann sich 100 und mehr Passwörter merken, d.h. sie werden meistens wiederverwendet.

Und ich will dem Betreiber des TS-Servers noch nicht mal bösen Willen unterstellen, aber es könnten ggf. auch andere Benutzer auf dem Server darauf zugreifen. Wenn die Dateien wenigstens mit den richtigen Zugriffsrechten (chmod 640 oder besser 600) ausgestattet wären, dann wäre das Problem deutlich kleiner.

Wenn der TS-Server selbst angreifbar ist, hätte der Angreifer aufgrund der selben Rechte auch bei richtigem chmod noch Zugriff auf die Daten. Daher macht auch die Verschlüsselung Sinn. Für vergessene Passwörter sollte es eine PW-rücksetzen-Funktion geben.

Das MD5-Patch funktioniert bei mir übrigens auch nicht:

teamspeak@piripiri:~/tss2_rc2$ ./convert-md5
TS2 SQLite Password Converter
Copyright (c) 2006 PlanetTeamSpeak.com

This script supports you converting your unencrpyted passwords in your server.dbs to MD5-Hashes
Do you want to start conversion? [y/N]
y
Creating backup...
Converting...
./sqlite: error while loading shared libraries: libreadline.so.5: cannot open shared object file: No such file or directory
Conversion completed. Do you want to cleanup (delete the converter and its tools)? [y/N]


Die Lib fehlte in /lib32.

Nach Installation des Pakets lib32readline5:
teamspeak@piripiri127:~/tss2_rc2$ ./convert-md5
TS2 SQLite Password Converter
Copyright (c) 2006 PlanetTeamSpeak.com

This script supports you converting your unencrpyted passwords in your server.dbs to MD5-Hashes
Do you want to start conversion? [y/N]
y
Creating backup...
Converting...
./sqlite: symbol lookup error: /lib32/libreadline.so.5: undefined symbol: BC
Conversion completed. Do you want to cleanup (delete the converter and its tools)? [y/N]


Ein anderes passendes Paket war nicht auffindbar.

[Hook88]

Auch wenn es nicht gerade toll ist, dass die Passwörter im Klartext gespeichert werden, würde ich das nicht gerade als Sicherheitslücke bezeichnen......

In TS3 wird dies aber sicherlich nicht mehr der Fall sein, deswegen ist es momentan auch recht Sinnlos, nochmals eine neue Serverversion herauszubringen.

[netbreaker]

Auch wenn es nicht gerade toll ist, dass die Passwörter im Klartext gespeichert werden, würde ich das nicht gerade als Sicherheitslücke bezeichnen......


Wenn jemand unbefugtes Zugriff haben kann, ist es eine Sicherheitslücke.
Das läßt sich auch nicht wegdiskutieren.

Und hier liegen definitiv gleich 2 davon vor:
1. es dürfen alle lokalen Benutzer darauf zugreifen (Rechteproblem)
2. falls 1. abgestellt ist, hat der Eigentümer Zugriff auf Passwörter (Verschlüsselung). Ja, auch er ist nicht befugt, mein Passwort zu lesen, zumindest nicht, ohne mich bei der Anmeldung darauf hinzuweisen.

In TS3 wird dies aber sicherlich nicht mehr der Fall sein, deswegen ist es momentan auch recht Sinnlos, nochmals eine neue Serverversion herauszubringen.

Sicherheitslücken zu beseitigen ist NIE sinnlos.

Wie lange ist das Problem schon bekannt?
Wie lange ist das Patch schon da?
Wie lange wurde (seitens des Herstellers) nichts dagegen unternommen?
Und wann kommt die neue Version?
Ich will die Fragen hier nur in den Raum werfen und gar nicht beantwortet bekommen. 3x heißt die Antwort "schon (viel zu) lange" und 1x "das steht noch nicht fest".

Und ist es sicher, daß das Problem dort beseitigt ist? Das weiß keiner.

Das Rechteproblem läßt sich mit minimalem Aufwand im Startskript erledigen und erfordert keine neue Serverversion in dem Sinne. Das vorliegende sqlite-Patch zu integrieren ist auch kein großer Aufwand und verändert nichts am Binary. Bei mir funktioniert ja nur die Konvertierungsroutine nicht. Wenn ich gleich mit dem Patch starte und eine neue DB generieren lasse, sowie die Benutzer danach anlege, funktioniert es ja.

Wenn alle denken, das ist ja nicht so schlimm, wird sich daran auch nichts ändern, so wie bisher.

[Elradon]

Und damit sind wohl auch die meisten Nutzer zufrieden. Da gibt es andere Sachen im Bereich, die viel wichtiger wären. Aber das liegt am Nutzer. So haben viele noch alte Version von server_linux am laufen.. Selber schuld.

[R. Ludwig]

ich weiß das ganz genau... es ist beseitigt.

[netbreaker]

ich weiß das ganz genau... es ist beseitigt.

Na das ist doch mal ein positives Statement. :)
Danke.

[netbreaker]

Und damit sind wohl auch die meisten Nutzer zufrieden.

definiere Nutzer! Clients || Serverbetreiber?
Die "meisten" machen sich gar keine Gedanken darüber. Scheint wohl an der Gamer-Szene zu liegen, daß der Spaß über der Sicherheit steht, zumindest bis mal was passiert ist. Die "meisten" werden dann aber auch nicht herausfinden warum es passiert ist.
Wenn sie darüber Bescheid wüßten, würden nicht mehr so viele zufrieden damit sein.

Da gibt es andere Sachen im Bereich, die viel wichtiger wären. Aber das liegt am Nutzer. So haben viele noch alte Version von server_linux am laufen.. Selber schuld.

Hmm, das versteh ich nicht. Die Nutzer sind schuld, daß der Hersteller Fehler nicht beseitigt? Oder von mir aus auch die Funktionalität verbessert, was manchem wohl wichtiger ist als die Sicherheit?
Das kann man nicht einfach vermischen. Der Nutzer (Serverbetreiber), der sein System aktuell hält, sollte auch auf der sicheren Seite sein. Über den Rest brauchen wir hier nicht zu diskutieren, da sie wahrscheinlich auch ein weiteres Update nicht einspielen würden.

[Peter]

Wenn man sich darueber aufregen will das die Passwoerter nicht gehashed sind, kann man das sicherlich machen. Muss man aber nicht. Und mit TS3 wird alles besser.

Thread closed.