Login bzw. Logout Forum und Chat
Login bzw. Logout Forum und Chat
.
Zuletzt geändert von blacksister´s ghost am Freitag 9. August 2019, 21:26, insgesamt 1-mal geändert.
-
- Site Admin
- Beiträge: 1116
- Registriert: Mittwoch 23. Mai 2018, 21:38
- Wohnort: Oldenburg
- Gender:
- Alter: 31
Re: Login bzw. Logout Forum und Chat
Nein, eine andere Möglichkeit gibt es nicht.
Der Sinn des Logout-Buttons ist es, die Sitzung zu beenden, damit ein neues Einloggen notwendig ist. Daher kann man auch im Chat nicht mehr eingeloggt sein, sonst wäre der Logout kein richtiger Logout.
(Lange technische Erklärung folgt, wer nur das Ergebnis will einfach unten gucken
)
Es gibt allerdings wenig Gründe, sich überhaupt auszuloggen. Wenn man den PC verlässt und andere Leute anfangen den zu nutzen, dann wäre es sinnvoll (z.B. Familie, oder man ist an einem öffentlichen PC). Man will ja nicht, dass andere Leute unter dem eigenen Namen irgendwas schreiben, private Nachrichten lesen oder sowas.
Aus Sicherheitsperspektive ist es normalerweise auch sinnvoll, die Sitzung nicht ewig bestehen zu lassen. Daher wird die meistens irgendwann (nach Minuten oder Stunden) automatisch beendet. Nachdem man sich einloggt, schickt der Computer automatisch jeder mal eine geheime, lange Zahl mit, die beim Einloggen zufällig erzeugt wird und die niemand anders kennt. Dadurch erkennt der Server, dass man immer noch der selbe User ist, und nur dadurch kann man eingeloggt bleiben. Blöd ist das, wenn jemand herausfindet, was diese Zahl ist: Derjenige könnte nämlich, solange die Sitzung läuft, sich als der User ausgeben, dem die Zahl zugeordnet ist (also so ähnlich, als hätte jemand das Passwort rausgefunden, aber zeitbeschränkt).
Die Zahl ist aber groß genug, dass man annehmen kann, dass es nicht möglich ist sie zu raten. Daher muss sie entweder bei der Kommunikation zwischen Nutzer und Webseite "abgehört" werden, oder vom PC des Nutzers "geklaut": Letzteres ginge per Schadsoftware oder manuell, wenn man seinen PC unbeaufsichtigt stehen lässt, sich nicht ausgeloggt hat und jemand fremdes kann darauf zugreifen.
Die Leitung abhören dürfte nahezu unmöglich sein: Diese Seite lässt nur verschlüsselte Verbindungen zu, und da ist das Abhören wenig nützlich.
Bei Dingen wie Online-Banking sollte man sich also vielleicht wirklich ausloggen. Bei Webseiten wie dieser lohnt es sich dagegen wohl kaum für Angreifer, sich als jemand anders auszugeben.
Im Ergebnis: Den Logout-Button kann man eigentlich getrost ignorieren. Es schadet nicht, einfach immer eingeloggt zu bleiben (bis man automatisch ausgeloggt wird). Ausnahmen sind Fälle, in denen man fremde Computer benutzt oder jemand anders an den Computer lässt. Und dann hat man noch den Vorteil, dass man sich nicht dauernd neu einloggen muss.
Der Sinn des Logout-Buttons ist es, die Sitzung zu beenden, damit ein neues Einloggen notwendig ist. Daher kann man auch im Chat nicht mehr eingeloggt sein, sonst wäre der Logout kein richtiger Logout.
(Lange technische Erklärung folgt, wer nur das Ergebnis will einfach unten gucken
![Razz :P](./images/smilies/icon_razz.gif)
Es gibt allerdings wenig Gründe, sich überhaupt auszuloggen. Wenn man den PC verlässt und andere Leute anfangen den zu nutzen, dann wäre es sinnvoll (z.B. Familie, oder man ist an einem öffentlichen PC). Man will ja nicht, dass andere Leute unter dem eigenen Namen irgendwas schreiben, private Nachrichten lesen oder sowas.
Aus Sicherheitsperspektive ist es normalerweise auch sinnvoll, die Sitzung nicht ewig bestehen zu lassen. Daher wird die meistens irgendwann (nach Minuten oder Stunden) automatisch beendet. Nachdem man sich einloggt, schickt der Computer automatisch jeder mal eine geheime, lange Zahl mit, die beim Einloggen zufällig erzeugt wird und die niemand anders kennt. Dadurch erkennt der Server, dass man immer noch der selbe User ist, und nur dadurch kann man eingeloggt bleiben. Blöd ist das, wenn jemand herausfindet, was diese Zahl ist: Derjenige könnte nämlich, solange die Sitzung läuft, sich als der User ausgeben, dem die Zahl zugeordnet ist (also so ähnlich, als hätte jemand das Passwort rausgefunden, aber zeitbeschränkt).
Die Zahl ist aber groß genug, dass man annehmen kann, dass es nicht möglich ist sie zu raten. Daher muss sie entweder bei der Kommunikation zwischen Nutzer und Webseite "abgehört" werden, oder vom PC des Nutzers "geklaut": Letzteres ginge per Schadsoftware oder manuell, wenn man seinen PC unbeaufsichtigt stehen lässt, sich nicht ausgeloggt hat und jemand fremdes kann darauf zugreifen.
Die Leitung abhören dürfte nahezu unmöglich sein: Diese Seite lässt nur verschlüsselte Verbindungen zu, und da ist das Abhören wenig nützlich.
Bei Dingen wie Online-Banking sollte man sich also vielleicht wirklich ausloggen. Bei Webseiten wie dieser lohnt es sich dagegen wohl kaum für Angreifer, sich als jemand anders auszugeben.
Im Ergebnis: Den Logout-Button kann man eigentlich getrost ignorieren. Es schadet nicht, einfach immer eingeloggt zu bleiben (bis man automatisch ausgeloggt wird). Ausnahmen sind Fälle, in denen man fremde Computer benutzt oder jemand anders an den Computer lässt. Und dann hat man noch den Vorteil, dass man sich nicht dauernd neu einloggen muss.
"If you ignore the rules people will, half the times, quietly rewrite them so that they don't apply to you."
- Terry Pratchett, Equal Rites
- Terry Pratchett, Equal Rites
-
- Bestätigtes Mitglied
- Beiträge: 202
- Registriert: Sonntag 27. Mai 2018, 21:19
- Beziehungsstatus: Single
- Alter: 30
Re: Login bzw. Logout Forum und Chat
Kurzer technischer Einschub: Es ist durchausmöglich eine Https verbindung abzuhören, wenn z.b. der router übernommen wurde. Dazu wird dann eine https verbindung vom pc zum router und vom router zur webside erzeugt.aka der router ent und verschlüsselt die verbindung on the fly sozusagen.
"Dem Pfad der Klarheit vom Geist zum Herzen zu ebnen, ist schwieriger als jeder Kampf mit Waffen."
-
- Site Admin
- Beiträge: 1116
- Registriert: Mittwoch 23. Mai 2018, 21:38
- Wohnort: Oldenburg
- Gender:
- Alter: 31
Re: Login bzw. Logout Forum und Chat
Dazu müsste das Zertifikat gefälscht werden. Wer das macht hat vermutlich andere Ziele als so ein Forum hier.
Und außerdem hätte man dann direkten Zugriff aufs Passwort, was soll man sich noch mit der Sitzung rumschlagen.![Razz :P](./images/smilies/icon_razz.gif)
Und außerdem hätte man dann direkten Zugriff aufs Passwort, was soll man sich noch mit der Sitzung rumschlagen.
![Razz :P](./images/smilies/icon_razz.gif)
"If you ignore the rules people will, half the times, quietly rewrite them so that they don't apply to you."
- Terry Pratchett, Equal Rites
- Terry Pratchett, Equal Rites