email2fax sicherheit

Ja ist so.

Verschluesselst du deine restlichen emails auch oder hast du noch nie ein Passwort per Mail bekommen?

Ausserdem wird das Telefonie SIP Passwort ebenso unverschluesselt uebertragen.

-> Wo ist der (finanzielle) Unterschied zwischen der unverschluesselten Uebertragung des SIP-Passwortes und der Emailbetreffzeile?

Ja, du hast recht, du kannst aber auch die Faxe aus dem Kundencenter abschicken.

voipd.

@darcstar

Also ich bitte dich!

• Erstens wirst du Serienfaxe ueber ein technisch optimierteres Interface schicken.
  
• Zweitens schickt z.B. klarmobil PIN,PUK und Passwoerter als klare Email.
  
• Drittens lohnt es sich wohl eher bei 1und1, Strato, GMX oder Yahoo dem Mailserver aufzumachen, da liegt einem dann fast der ganze elektronische Informationsverkehr der Bundesrepublik zu Fuessen. Damit koennte man sicher gut Konten pluendern
  
• Viertens muss man die Kirche im dorf lassen. Das Risikopotenzial ist genauso hoch wie bei Mail, SIP oder sonstigen Diensten.
  
• Fuenftens ist die Wahrscheinlichkeit, dass jemand dein Portemonnaie mit 100.-- Euro klaut hoeher, als das jemand deinen 2*20.-- Euro Nachladeaccount bei dus.net knackt.
  
• Sechtens, natuerlich hast du recht und es ist ein Sicherheitsrisiko. Auf die Strasse zu gehen uebrings auch.

Also nichts dramatisches, sondern nur Leben Live. ;-)

voipd.

voipd schrieb:

Ausserdem wird das Telefonie SIP Passwort ebenso unverschluesselt uebertragen.

Zum Vergrößern anklicken....

Wenn ich das richtig verstehe (Ich bin kein Dus.net-Kunde) kann man beim email2fax immer das gleiche "verschlüsselte Passwort" verwenden. Bei SIP wird allerdings Challenge Response Authentication verwendet. Dabei generieren beide Seiten einen Zufallswert die beim "verschlüsseln" des Passworts mitverwendet werden. Da bringt es also eigentlich nix, wenn man die Nachrichten abfängt. Man kann damit nur erkennen, wer wann mit wem telefoniert hat.

Beim email2fax sieht es aber anscheinend anders aus. Da wäre es evtl. sinnvoll, wenn man jedes mal sowas wie ne TAN angeben müsste. Die könnte man sich ja dann einfach im Webinterface generieren lassen.

Mein Kenntnisstand bzgl. SIP sieht anders aus, aber da lasse ich mir gerne etwas beibringen. Danke.

Bei dus.net ist das zur Zeit ein statisches Kennwort. Wegen dem TAN verfahren gebe ich dir insofern auch recht, aber man muss immer Kosten/Nutzen/Risiko abwaegen.

voipd.

voipd schrieb:

Mein Kenntnisstand bzgl. SIP sieht anders aus, aber da lasse ich mir gerne etwas beibringen. Danke.

Zum Vergrößern anklicken....

Bei SIP 1.0 gab es noch Plain Text Authentication. Bei 2.0 ist das aber nicht mehr erlaubt und mir ist ehrlich gesagt kein Gerät bekannt, das 1.0 spricht.

Nachdem dies hier ja eh fleissig diskutiert wird (@darcstar, hast Du es wenigstens erst direkt bei dus.net bemängelt?): realistisch gesehen dürfte derzeit die Chance, dass jemand den Mailverkehr eines Kunden abfängt und über das Kennwort Faxe verschickt wohl relativ gering sein, da das kommerzielle Potenzial eher gering ist. Allerdings tut sich dus.net keinen guten Dienst, dass solche Sicherheitsprobleme überhaupt existieren.

BTW, eigentlich würde für ein sicheres System bereits die Unterzeichnung per S/MIME ausreichen, wenn man seinen Public Key im Kundenbereich hinterlegen könnte. Da S/MIME recht weit verbreitet ist, wäre dies sicherlich die sinnvollste Lösung des Problems. BTW, dus.net hat diesen Lösungsvorschlag schon seit Mittwoch oder Donnerstag per Kontakt-Formular bekommen.

Grüße,
TSCoreNinja