Seite 1 von 1

Login bzw. Logout Forum und Chat

Verfasst: Sonntag 21. Oktober 2018, 19:24
von blacksister´s ghost
.

Re: Login bzw. Logout Forum und Chat

Verfasst: Montag 22. Oktober 2018, 06:20
von Fanchen
Nein, eine andere Möglichkeit gibt es nicht.
Der Sinn des Logout-Buttons ist es, die Sitzung zu beenden, damit ein neues Einloggen notwendig ist. Daher kann man auch im Chat nicht mehr eingeloggt sein, sonst wäre der Logout kein richtiger Logout.
(Lange technische Erklärung folgt, wer nur das Ergebnis will einfach unten gucken :P)
Es gibt allerdings wenig Gründe, sich überhaupt auszuloggen. Wenn man den PC verlässt und andere Leute anfangen den zu nutzen, dann wäre es sinnvoll (z.B. Familie, oder man ist an einem öffentlichen PC). Man will ja nicht, dass andere Leute unter dem eigenen Namen irgendwas schreiben, private Nachrichten lesen oder sowas.
Aus Sicherheitsperspektive ist es normalerweise auch sinnvoll, die Sitzung nicht ewig bestehen zu lassen. Daher wird die meistens irgendwann (nach Minuten oder Stunden) automatisch beendet. Nachdem man sich einloggt, schickt der Computer automatisch jeder mal eine geheime, lange Zahl mit, die beim Einloggen zufällig erzeugt wird und die niemand anders kennt. Dadurch erkennt der Server, dass man immer noch der selbe User ist, und nur dadurch kann man eingeloggt bleiben. Blöd ist das, wenn jemand herausfindet, was diese Zahl ist: Derjenige könnte nämlich, solange die Sitzung läuft, sich als der User ausgeben, dem die Zahl zugeordnet ist (also so ähnlich, als hätte jemand das Passwort rausgefunden, aber zeitbeschränkt).
Die Zahl ist aber groß genug, dass man annehmen kann, dass es nicht möglich ist sie zu raten. Daher muss sie entweder bei der Kommunikation zwischen Nutzer und Webseite "abgehört" werden, oder vom PC des Nutzers "geklaut": Letzteres ginge per Schadsoftware oder manuell, wenn man seinen PC unbeaufsichtigt stehen lässt, sich nicht ausgeloggt hat und jemand fremdes kann darauf zugreifen.
Die Leitung abhören dürfte nahezu unmöglich sein: Diese Seite lässt nur verschlüsselte Verbindungen zu, und da ist das Abhören wenig nützlich.
Bei Dingen wie Online-Banking sollte man sich also vielleicht wirklich ausloggen. Bei Webseiten wie dieser lohnt es sich dagegen wohl kaum für Angreifer, sich als jemand anders auszugeben.

Im Ergebnis: Den Logout-Button kann man eigentlich getrost ignorieren. Es schadet nicht, einfach immer eingeloggt zu bleiben (bis man automatisch ausgeloggt wird). Ausnahmen sind Fälle, in denen man fremde Computer benutzt oder jemand anders an den Computer lässt. Und dann hat man noch den Vorteil, dass man sich nicht dauernd neu einloggen muss.

Re: Login bzw. Logout Forum und Chat

Verfasst: Montag 22. Oktober 2018, 14:19
von Deaddigger
Kurzer technischer Einschub: Es ist durchausmöglich eine Https verbindung abzuhören, wenn z.b. der router übernommen wurde. Dazu wird dann eine https verbindung vom pc zum router und vom router zur webside erzeugt.aka der router ent und verschlüsselt die verbindung on the fly sozusagen.

Re: Login bzw. Logout Forum und Chat

Verfasst: Montag 22. Oktober 2018, 18:27
von Fanchen
Dazu müsste das Zertifikat gefälscht werden. Wer das macht hat vermutlich andere Ziele als so ein Forum hier.
Und außerdem hätte man dann direkten Zugriff aufs Passwort, was soll man sich noch mit der Sitzung rumschlagen. :P