German Railroads Forum

da hat jemand gehackt!Diesen Anzeigen schenke ich schon seit langer Zeit keine Beachtung mehr weil diese in vielen Fällen geschönt werden um mehr Geld mit "Klicks" zu verdienen. Da in diesem Forum keine Fremdwerbung läuft war dies sicherlich nur ein Test des Hackers.

Aha....
Das habe ich vor einer ganzen Weile auch einmal erlebt. Da waren auf einmal unzählig viele User Online und als ich wieder mal vorbeischaute war es wieder auf normal Maß geschrumpft.
Aber die Zahl war auch nicht da. Sprich der Rekordwert.... Wird wohl ein Hacker gewesen sein.
Hat so ein Forum keine Firewall?

Gruß Jens

du bist im Internet nur sicher wenn du es nie benutzt oder nie jemals benutzt hast!
Ganz heftig sind die I-Plattformen in denen man nach ehemaligen Schulkameraden oder ähnlichem suchen kann, bzw. man seine eigenen Daten/Bilder eingibt um gefunden zu werden. Da geht´s richtig ab ohne daß du es merkst.

Die Benutzerdaten sind "normalerweise" sicher - aus mehreren Gründen:
* Selbst wenn ein Hacker Zugriff auf das Forum erlangt, erlangt er noch lange keine Verbindung zur Datenbank, auf denen die Daten des Forums gespeichert sind
* Und selbst wenn ein Hacker Zugriff auf die Datenbank erlangen sollte (welche separat geschützt ist), kann er kein Passwort auslesen, da diese nicht als Klartext, sondern entweder als Hash (also als Abbild ohne Rückgewinnungsmöglichkeit auf das originale Passwort, meist 128 bit lang, z.B. MD5, d.h. 2^128 verschiedene Passwörter wären nötig, um alle Hashes wieder "zurückzuweisen" zu können; eine Tabelle mit allen Hashes und den dazugehörigen Passwörtern wäre mindestens(!) 128 bit * 2^128 - also 16 * 2 ^ 128 Byte; das wären 48 * 10^38 Byte, nur als Vergleich, eine Terabyte-Platte besitzt "nur" 10^12 Byte Speicherkapazität) oder aber als sog. "Salted Hash" (wo zusätzlich zum Hash bei jd. Passwort eine "Pseudo"-Zufallszahl mit eingebracht wird und es dem Angreifer damit noch weiter erschwert wird, diese Passworter zurückzuzuweisen).

Zu deinen Fragen:
Klar können mehr als 3000 Benutzer zur gleichen Zeit im Forum online sein - bedenke, dass die Gäste auch nach IP gezählt werden.
Ab wann ein Serverproblem (kein Crash, nur vermehrte Fehlermeldungen wg. Zeitüberschreitungen bei der Abfrage von Datenbankdaten) auftritt, hängt ganz gewaltig davon ab, wie
a) effektiv PHP arbeitet
b) schnell die Datenbank ist (u.a. halt wie groß/welcher Datenbankserver)
c) welches Forum verwendet wird
d) Rechenleistung/Speicherleistung und Internetanbindung des Servers (oder aber Clusters)

Aber davon stürzt wie gesagt der Server nicht ab, sondern viel eher muss man sich das dann wie eine lange Warteschleife vorstellen - der Rechner des Forennutzers schickt die Anfrage an den Server - und der stellt diese ganz hinten in eine Warteschlange - und erst wenn die Anfrage bis nach ganz vorne in der Schleife vorgerückt ist, wird sie abgearbeitet. Je komplexer also die Anfragen und je mehr, desto länger wird die Warteschleife. Ab einer gewissen Länge dauert es zu lange, bis der Server die Daten verarbeiten kann - der Rechner des Nutzers zeigt eine Fehlermeldung wegen einer Zeitüberschreitung (Timeout). Wenn hingegen nun die Warteschleife so lang wird, dass der Server selbst keinen Platz mehr hat, um neue Anfragen aufzunehmen, dann verweigert er die Verbindung (Connection reset by peer / server). Bei beidem hilft den betr. Nutzern NUR warten...

Ich habe selbst schon Scripte gesehen, wo mehr als 500 Nutzer schon zu solchen Problemen geführt haben, aber ich kenne auch Seiten, wo selbst 5000 Nutzer keine Probleme machen...

Es scheint sich schon wieder jemand einen Spaß daraus zu machen, die Nutzerzahlen künstlich hoch zu treiben..

Gruß

der trainman1

Mit "normalerweise" meine ich, dass es KEINE 100%ige Sicherheit geben kann...

Aus mathematischer Sicht kann jeder auch noch so komplexe kryptographische Code geknackt werden - es ist nur eine Frage der Rechenzeit, bis man z.B. mittels BruteForce-Attacke den Schlüssel geknackt hat. Die Frage ist eben nur, wie lange diese Rechenzeit ist - und wenn die Zeit zum Knacken eines Codes gegen mehrere 10 oder sogar 100 Jahre läuft, selbst wenn man die größten Rechencluster benutzen würde, dann kann man den verwendeten Algorithmus als sicher betrachten, da in mehreren Jahren die Information nicht mehr so wichtig sein kann, als das man sie dann noch benutzen könnte.

Beispiel: Eine Firma A sendet heute einen geheimen Bauplan eines Gerätes per verschlüsselter Mail an eine Zuliefer-Außenstelle. Ein Konkurrent der Firma A, Firma B, möchte unbedingt an die Baupläne. Die Frage ist doch jetzt, wie lange man bei B braucht, um den Bauplan bei ausgespähter Mail aus der verschlüsselten Mail zu extrahieren. Falls dies mehrere Jahre dauert, ist das Produkt von A bereits auf dem Markt und die internen Baupläne sind obsolet, da man diese ebenfalls durch einfaches Aufschrauben erkennen kann.

Gleiches Beispiel, nur auf einen Haushalt angepasst:
Ich verschicke per Mail an einen weiteren Mitbewohner eine Liste der Sachen, die wir für den nächsten Grillabend benötigen - und verschlüssele diese. Falls nun jemand auf die Idee kommt, dass in der Mail etwas GAAANZ wichtiges stehen könnte, würde dieser evtl. mehrere Wochen/Monate/Jahre brauchen, um am Ende die Einkaufsliste präsentiert zu bekommen...