Mail mit Kennwort nach Änderung

[bitblocker]

Liebe Leute,

das darf doch nicht wahr sein! Ihr sendet nach einer Kennwortänderung ein Mail an den User, wo nicht nur die Info steht, dass das Kennwort geändert worden ist, sondern gleich das Kennwort dazu! Geht es euch noch gut?!

Hier zur Sicherheit das Mail, dass ihr versendet:

Sehr geehrter Benutzer,

Ihr Kennwort auf ds-server wurde wie folgt geändert:
Benutzername: xxx
Kennwort: yyyyy

Um Ihr persönliches Profil zu ändern, besuchen Sie bitte http://x.y.z.u:5000/, http://x.y.z.v:5000/.

Mit freundlichen Grüßen
Synology Disk Station
​

Das muss unbedingt geändert werden!!! Das Problem besteht ja darin, dass das Mail "nach außen" geht und von jedermann theoretisch "abgehört" werden kann.

Dann noch gleich eine weitere Sicherheitsfrage: Werden die Kennwörter auf der Diskstation im Klartext abgelegt? Ich hoffe doch wohl, dass dies nicht der Fall ist, sondern dass ihr nur mit Hash-Werten arbeitet!

Beste Grüße,
bitblocker

 

[_TokTok_]

An wen ist dieser Eintrag gerichtet? Von Synology wird hier sicher niemand reingucken. Am besten Du trägst Dein Anliegen direkt dem Support vor.
Um das Problem zu umgehen, einfach keine Emailadresse bei den Benutzereinstellungen eintragen

 

[itari]

Ich denke, dass die Synology-Entwickler an keine (!) Benutzer außerhalb des lokalen Netzes gedacht haben - schließlich ist das eine Disk Station und keine Web Station

Es ist allgemein bekannt, dass die Disk Stations nicht sonderlich sicher sind. Im internationalen Forum ist das ausgiebig diskutiert worden.

Ansonsten, nochmal der Hinweis von _TokTok_ - hier in das Forum schaut niemand von Synology herein. Also am besten eine Mail schicken. Und wenn wenn es Lösungen gibt, dann hier posten, weil es natürlich für alle interessant ist.

itari

 

[jahlives]

Dann noch gleich eine weitere Sicherheitsfrage: Werden die Kennwörter auf der Diskstation im Klartext abgelegt? Ich hoffe doch wohl, dass dies nicht der Fall ist, sondern dass ihr nur mit Hash-Werten arbeitet!

Welche Kennwörter meinst du denn? Für den Login ins System (sprich telnet oder ssh)? Diese werden als Hashes in /etc/passwd und /etc/shadow gespeichert. Ausserdem sollten die Zugriffsrechte darauf so gesetzt sein, dass nur Root die Dateien lesen und bearbeiten kann

Gruss

tobi

p.s. ich glaube hier arbeitet wohl keiner bei Synology

 

[Mexx]

p.s. ich glaube hier arbeitet wohl keiner bei Synology

und wenn wäre es auch egal, wenn man sich an ein paar grundregeln hält !

1. keine mailadressen bei den usern eintragen
2. logfiles öfters checken
3. pw regelmässig ändern, natürlich ein nicht zu knackendes pw
4. hosts.allow und hosts.deny verwenden