Wireshark zeigt Passwort in Klartext an!

[ott]

Moin Moin,

ich bin grad fast vom Stuhl gekippt als ich ein bisschen mit dem Open Source Programm Wireshark rumgespielt habe.

Das Bild im Anhang zeigt ein Ausschnitt aus dem Live-Protokoll während ich mit Outlook 2007 meine Mails abgerufen habe (POP3).

An den beiden stellen, die ich rot mit Benutzername und Passwort beschrifftet habe, standen die beiden Informationen im KLARTEXT!

Kann mir mal jemand erklären wie bekloppt man sein muss ein Passwort in irgendeiner Art im Klartext zu übermitteln?

Hat das vielleicht damit zu tun, dass ich die Mails nicht per SSL abhole?

Bin gespannt auf eure Antworten.

P.S. ist der Thread hier richtig oder sollte er in Networking Technologies oder Security?

Das gleiche konnte ich auch eben beim Aufbau einer ftp-Verbindung sehen, wieder wurden alle Passwörter im Klartext angezeigt

Bearbeitet 29. Januar 2009 von ott

[michaelmeier]

*lol* und wieder einer, der die wunderbare welt der unverschlüsselten protokolle entdeckt...

ja, das ist völlig normal, vgl. die entsprechenden Wikipedia-Seiten zu den einzelnen Protokollen.

und ja, das betrifft auch noch deutlich mehr protokolle.

versuch die aktion mal mit ssl.

[lordy]

Tja, diese ganzen Protokolle stammen eben aus den 80ern, wo das Internet noch gut war.

SSL ist daher angesagt.

[VaNaTiC]

Du kannst Dir gleich merken, dass in der Regel alle Protokolle, die nicht direkt als [x] verschlüsselt gekennzeichnet sind, pauschal direkt lesbar sind.

Aber zum Glück werden heute auch in kleinen Segmenten fast nur noch Switche eingesetzt und da ist es nicht ganz so einfach mitzulesen

[volker81]

Hat das vielleicht damit zu tun, dass ich die Mails nicht per SSL abhole?

Exakt.

[lordy]

Aber zum Glück werden heute auch in kleinen Segmenten fast nur noch Switche eingesetzt und da ist es nicht ganz so einfach mitzulesen

Das würde ich so nicht unterschreiben. Durch Techniken wie z.B. ARP-Spoofing oder MAC-Flooding ist es auch in einem geswitchten LAN möglich, mizulesen.

[volker81]

right.

gibt da so ein programm von oxid.it das eigentlich jeder kennen sollte

[ott]

gibt da so ein Programm von oxid.it das eigentlich jeder kennen sollte

ja von dem Programm habe ich auch schon was gehört, hatte aber bis gestern keine Ahnung was das eigentlich macht...

... man ich komme mir vor wie ein blutiger Anfänger

jetzt werde ich erstmal weiter in die Materie einsteigen und alles, soweit möglich, nur noch verschlüsselt übertragen.

[VaNaTiC]

Ich wollte eben gerade NICHT die diversen Methoden nennen, um einen Switch zu bewegen mir doch alles was nicht für mich ist zu senden, so dass man es tracen kann.

Mirror-Port heißt zumeist die Einstellung in oder an einem etwas besseren Switch um mal ganz bewusst ein legales Mittel zu nennen!

[Wednesday13]

Welches E-Mail Programm verschlüsselt denn das Passwort per SSL?

[volker81]

Jedes gängige. Outlook, Thunderbird, Mail, ...

[Wednesday13]

Wenn ich also mein Konto bei web.de hätte und es mit Thunderbird abrufe, verschlüsselt er automatisch?

[Amstelchen]

nein. du musst natürlich deinen client so konfigurieren, dass er ein sicheres protokoll verwendet.

WEB.DE FreeMail Hilfe - Login mit SSL

s'Amstel