XP Usermanagers 6.1 Open Source

[Olli]

Das oben war ein Hinweis darauf, daß du eine Sicherheitslücke einbaust (bzw. den Benutzer dazu bringst sie aufzureissen), wenn du die Registrywerte auf 0 setzt. Scheint ja nicht so wichtig zu sein wie die kontextsensitive Hilfe, nach dem ersten Post auf einer Security-Mailingliste würden sich diese Prioritäten sicher ändern

[Luckie]

Du beziehst dich auf den Hilfetext vom Screenshot? Dann guck mal in der Registry, wenn du einen Benutzer mit Passwort automatisch einloggst. Dann findest du hier SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon sein Passwort im KLartext. Das was du aber zitierst, ist etwas ganz anderes. Da geht es darum Zugriff auf andere Rechner, insbesondere XP Home zu bekommen. Und natürlich setzt der Usermanager den Wert nicht selber. Dass muss schon der Benutzer selber machen. In der Final wird eine Readme.txt dabei liegen, die dies näher erklärt und natürlich über das Sicherheitsrisiko aufklärt.

[Olli]

• Zitat von Luckie:

  Das was du aber zitierst, ist etwas ganz anderes.

  Du brauchst mich nicht aufzuklären, daß es sich um zwei verschiedene Dinge handelt, denn das ist mir bewußt - ich habe sie ja auch getrennt aufgelistet.

• Zitat von Luckie:

  Du beziehst dich auf den Hilfetext vom Screenshot? Dann guck mal in der Registry, wenn du einen Benutzer mit Passwort automatisch einloggst. Dann findest du hier SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon sein Passwort im KLartext.

  Jupp. Du kannst mir sicher erklären, wo ich das Paßwort im Klartext finde, wenn ich den Autologon mit TweakUI für XP anschalte ... schonmal als Tip: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon ist es nicht

• Zitat von Luckie:

  Da geht es darum Zugriff auf andere Rechner, insbesondere XP Home zu bekommen. Und natürlich setzt der Usermanager den Wert nicht selber. Dass muss schon der Benutzer selber machen. In der Final wird eine Readme.txt dabei liegen, die dies näher erklärt und natürlich über das Sicherheitsrisiko aufklärt.

  Du empfiehlst den Leuten also allen Ernstes eine geschlossene Sicherheitslücke aufzureißen um deinem Programm zum Funktionieren zu verhelfen? Auch andere Programme als dein XPUM können diese Lücke dann nutzen.

[Luckie]

Zitat von Olli:

Jupp. Du kannst mir sicher erklären, wo ich das Paßwort im Klartext finde, wenn ich den Autologon mit TweakUI für XP anschalte ... schonmal als Tip: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon ist es nicht

Also gibt es noch eine zweite Möglichkeit wo man die Loginaten für ein Autologin ablegen kann? In dem von mir geannten Registryschlüssel werden sie zu mindest unverschlüsselt abgelegt.

Zitat:

Du empfiehlst den Leuten also allen Ernstes eine geschlossene Sicherheitslücke aufzureißen um deinem Programm zum Funktionieren zu verhelfen? Auch andere Programme als dein XPUM können diese Lücke dann nutzen.

Wo habe ich etwas von empfehlen geschrieben? Der Text der Readme.txt ist noch gar nicht geschrieben und du legst mir schon jetzt unausgesprochene Worte in den Mund.

[Olli]

Zitat von Luckie:

Also gibt es noch eine zweite Möglichkeit wo man die Loginaten für ein Autologin ablegen kann? In dem von mir geannten Registryschlüssel werden sie zu mindest unverschlüsselt abgelegt.

Ja und ja.

Zitat von Luckie:

Wo habe ich etwas von empfehlen geschrieben? Der Text der Readme.txt ist noch gar nicht geschrieben und du legst mir schon jetzt unausgesprochene Worte in den Mund.

Zitat von Luckie (Hervorhebung meinerseits):

Und natürlich setzt der Usermanager den Wert nicht selber. Dass muss schon der Benutzer selber machen. In der Final wird eine Readme.txt dabei liegen, die dies näher erklärt und natürlich über das Sicherheitsrisiko aufklärt.

Nein, tue ich nicht.

[Luckie]

Da steht, dass er der Benutzer selber machen muss. Ob er es macht oder nicht bleibt ihm selbst überlassen. Von empgfhelen im Sinne von raten es zu tun schreibe ich nichts und werde es auch nicht. Ich werde über die Risiken aufklären und dann kann der Benutzer selber entscheiden.

Zu Punkt eins: Wie kann man denn die Logindaten verschlüsselt ablegen? Diese Methode wäre mir natürlich lieber. Desweiteren würde das auch das Problem lösen, dass es bei mir nicht richtig angezeigt wird, wenn man das Autologin mit Tuneup Utilities setzt.

[Daniel G]

Zitat von Luckie:

Da steht, dass er der Benutzer selber machen muss. Ob er es macht oder nicht bleibt ihm selbst überlassen. Von empgfhelen im Sinne von raten es zu tun schreibe ich nichts und werde es auch nicht. Ich werde über die Risiken aufklären und dann kann der Benutzer selber entscheiden.

Gerade der unbedarfte Nutzer kann hier sehr viel sehr schnell falsch machen. Ich halte das imho für keine gute Idee...

[Luckie]

Gerade deswegen wird ja in der Readme über die Risiken aufgeklärt.

[alcaeus]

Zitat von Luckie:

Gerade deswegen wird ja in der Readme über die Risiken aufgeklärt.

Und jetzt ueberlege mal, wieviele Leute readme-Dateien effektiv lesen, sogar wenn ein Hinweis darauf im Programm vorkommt? Fast keine. Sorry, aber ich wuerde den Hinweis wenn schon direkt in den Hilfetext der Option reinpacken...just my 2 Cents

Greetz
alcaeus

[Daniel G]

Zitat von alcaeus:

Sorry, aber ich wuerde den Hinweis wenn schon direkt in den Hilfetext der Option reinpacken...just my 2 Cents

Oder es halt komplett weg lassen. Lieber eine Funktion weniger, als ein oder zwei verärgerte Kunden, bei denen dieses Sicherheitsloch zu wirtschaftlichen Schäden führte. Denk' doch mal ökonomisch...