Also ich würde es meiden jetzt mich auf der typo3-Seite einzuloggen. Eine hochinteressante Seite in Sicherheitsbelangen ist zone-h.org . Dort werden u. a. auch defacement Angriffe vorgestellt. Beispielsweise wurde mehrmals die Microsoft-Homepage verunstaltet.

(original post)

@Auyana: Ja, ist gut organisiert :-). Und: ist nicht früh für einen Segeltörn. Wir brauchen erst die Anmeldungen und chartern dann die Yachten. Zweiteres sollte eigentlich recht bald geschehen ... ;-).

(original post)

Nein noch nichts neues, das letzte ist die offizielle News auf typo3.org, wie bereits oben im Artikel-Update genannt: http://news.typo3.org/news/article/typo3org-important-security-warning/

(original post)

@Thomas: das hätte ich nicht besser ausdrücken können! Ist schon irgendwas Neues raus?

(original post)

[...] oder hier: http://typo3weblog.de/?p=350 [...]

(original post)

yeah spread the word ;) und was nützt md5? genau rein gar nichts! also bitte bisschen weniger rumschrein wenn man sich weniger auskennt! natürlich wäre md5 etwas besser, aber beschützen tuts rein gar nicht. und sind wir nicht alle in der branche tätig, die immer predigen: überall andere passwörter, nie die gleichen wo verwenden, nicht unter der tastatur kleben, nicht den namen der freundin oder des hundes zu nehmen usw? klingelts? tragisch ists natürlich allemal

(original post)

Sorry Georg, aber da muss ich widersprechen. Natürlich ist md5 nicht das Mittel der Wahl, aber eins ist klar, mein PW steht in keinem Wörterbuch und ist lang genug, dass ein script zum decodieren von md5 sehr lange brauchen würde. Jetzt nützt mir mein tolles Passwort aber rein gar nichts mehr, wenn dieses im Klartext in der DB von typo3.org stand. Es macht also schon einen großen Unterschied ob die PW im Klartext oder mindestens mit md5 verschlüsselt drin stehen.

(original post)

Hi Thomas, dein Hinweis ist natürlich richtig, dennoch war es ein Hacker der die Site gehackt hat, ob durch ein Sicherheitsloch oder einfach nur weil ein BE User ein falsches Passwort gewählt hat. Und das die FE-User Passwörter unverschlüsselt in der DB stehen ist auch nicht in Ordnung und steht denke ich nicht zur Diskussion ;) Der Titel ist vielleicht etwas reisserisch gewählt, aber mangels Informationen von typo3.org auch ein Stück gewollt. Ich vermisse immer noch eine offizielle Pressemitteilung. Imho gibt es außer der Mail noch keine weiteren Stellungennahmen.

(original post)

@Frank: Das stimmt! Aber meine 3 min Vorsprung konntest Du besser durch Deine große Anzahl hypes wett machen :-D Naja, die Frage ist, auf welches Passwort bezieht sich Robert?! Dass das Admin-Passwort verschlüsselt war, davon gehe ich mal aus... Aber was ist mit den FE-Passwörtern? Laut der Nachricht im t3n-Blog klingt das eher nicht so... daraufhin hatte ich auch nochmal ein Update gepostet: http://www.punsk.de/web-entwicklung/nachtrag-typo3org-gehackt/ @Thomas: wenn's eine Brute-Force-Attacke auf den md5 war könnte man schon von Hack reden, oder? ;-) ansonsten gebe ich Dir Recht! Wenn schon die Admins von typo3.org keine sicheren Passwörter benutzen, sollte man über so eine Prüfung ernsthaft nachdenken!

(original post)

Der Hinweis macht schon Sinn ... sollte jemand die MD5 Schlüssel mit Benutzernamen haben, hat der Jenige genug Zeit das richtige Passwort auf den MD5-String zu "probieren" (deshalb auch die gesperrte Anmeldung). Bleibt nur das Passwort zu wechseln.

(original post)

Die Seite wurde nicht gehackt, sondern ein PW eines BE-Users war zu einfach und wurde erraten - da kann kein System was gegen machen. TYPO3 fehlt eine "Passwortkomplexitätsprüfung" so wie unter Windows einstellbar...

(original post)

Nein, nicht DIE Passwörter, sondern DAS Passwort war MD5-verschlüsselt. Das sind BE-Passwörter IMHO immer. Viel kritischer finde ich, dass die Passwörter der Nutzer (FE) scheinbar nicht verschlüsselt waren! (Welchen Sinn würde es sonst machen, darauf hinzuweisen, dass man seine Passwörter auf andere Seiten ändern soll?!)

(original post)

Ja, ich stimme Dir zu Michael, es war wohl das Passwort des BE Users, dieses war md5 verschlüsselt aber zu kurz. Die FE-User Passwörter sind wohl unverschlüsselt. Leider gibt es immer noch keine offizielle News auf typo3.org. Auch die FAQ gibt noch nichts neues her. Sehr toll finde ich ja auch den Hinweis auf das Passwort-Manager-Tool, welches scheinbar nur für Windoof zu haben ist. Naja, mal schauen was heute noch so an Infos fließen werden.

(original post)

Die Mail hab ich auch bekommen. Erschreckend, dass die Passwörter im Klartext gespeichert wurden.

(original post)

@Michael: Laut Robert Lemke sind/waren die Passwörter verschlüsselt. Siehe mein Update oben im Artikel. @Tim: Da waren wir beide ja sehr zeitgleich dran ;)

(original post)

Also bei uns kam ebenfalls eine solche Mail an. Hab bei mir ebenfalls einen Beitrag gepostet: http://www.punsk.de/web-entwicklung/typo3org-gehackt/ Bis später Tim

(original post)

[...] Da predigen die Deppen den ganzen Tag was von Sicherheit und tollen Konzepten und speichern dann die Passwörter im Klartext. [...]

(original post)

(original post)

Danke für die Info! Ist bestimmt ein lohnenswertes Social Event. Da es erst im September nächsten Jahres stattfindet kommt die Information recht früh. Scheint eine gute Organisation dahinter zu sein.

(original post)

typo3.org wurde gehackt!?... Ich habe vor wenigen Minuten eine Email erhalten, in der mir mitgeteilt wurde, dass typo3.org gehackt wurde und der Angreifer Zugang zu Benutzerdaten und Passwörtern hatte....

(original post)

(original post)

Hi, naja dann weiß ich schon mal wo ich schauen muss ;)) in deinem text fehlt nach dem "Seit" irgendein Wort, aber natürlich danke fürs bekanntmachen & suchen

(original post)

Danke für den Hinweis, habs gleich mal eingefügt. Da waren meine Finger langsamer als mein Gehirn :D

(original post)

(original post)

Genau das was ich gerade gesucht habe! Vielen Dank!

(original post)

Top Firma empfehlenswert!!! QUALITÄT, LIEFERZEIT, VERPACKUNG, Abwicklung perfekt!!!!! Danke gerne wieder!!!! Mineralien Weltweit

(original post)

(original post)