E-Mail Konten Sicherheit

[balance]

Hallo,

Ich würde gerne mal wissen wie es möglich ist ein E-Mail Konto zu hacken. Ich selbst werde mich in kommender Zeit wohl etwas mehr mit E-Mail etc. beschäftigen da ich bald einen kleinen Server mache. (Ich bin Web Dev, studiere nun aber bald wieder und mache nebenbei was zum Geld verdienen)

Da ich nie wirklich viel mit E-Mails zu tun hatte wüsste ich gerne, wie sowas hackbar ist bzw. wo die Schwachstellen sind. Wir gehen davon aus, dass unser Server keine third party Löcher hat (falls man das so nennt). Wir haben z.B. einen dedicated Exchange Server. Ausserdem schliessen wir folgende Dinge aus: Passwort Reset ist safe, Webinterface gibts nicht und somit auch keine Web Applikation die zusätzliche Löcher bieten kann, für Phishing ist unser User zu schlau und Bruteforce ist dank exponentioneller Zeiterhöhung beim einloggen unmöglich.

Welche Lücken bestehen nun noch? Welches ist die meist angewandte Methode (auch von oben)? Gibts Lücken in den POP, SMTP, IMAP etc. Protokollen? Falls ja, gibts eine Software zum üben wie es diese für SQL Injections gibt?

 

[Chakky]

für Phishing ist unser User zu schlau

du meinst wohl dein "Opfer"?

Die Lücke die immer besteht ist ein zu schwaches Passwort. Eine Lücke wäre auch das der Server die Mails im klartext speichert und durchs "surfen" im Verzeichnis auslesbar ist...

 

[balance]

Opfer, User... Man weis was ich mein. Passt beides.

Ich gehe davon aus, dass ein guter Mailserver derartige Lücken nicht hat. Niemand würde seine Mails klartext abspeichern und dazu noch den Ordner freigeben. Das auslesen über irgendein injeziertes Script oder so schliesse ich mal aus. Sind ja alles Kinderkrankheiten, nicht?

 

[balance]

Ja, um genau das gehts mir mehr oder weniger. Wie kann man Scripte in den Server einschleusen (das ginge doch nur bei einem web interface oder wenn der server irgendwas hostet, nicht aber durch den Email Dienst selber da der Server ja nur per SMTP POP etc. erreichbar ist, oder?)

Nutzen nicht die meisten professionellen Server Exchange? Im Grunde habe ich auf einen Hinweis gehofft wie SQL Injection bei Web Apps. Aber nunja, soll mir recht sein wenn nicht.

Die meisten Konten werden wohl durch Phishing und co geknackt?

 

[SchwarzeBeere]

1) Kein User ist klüger, als ein Angreifer. (Spear-)Phishing oder allgemeiner Social Engineering ist immer ein Problem, das beachtet und behandelt werden muss.
2) Ein Benutzer ist immer, immer, IMMER dumm, weil er effektiv arbeiten möchte, in der Regel faul ist und Sicherheit ihm keinen Vorteil bietet, sondern idR. dies nur als Hürde für eine problemlose Arbeit ansieht. Deswegen wird er seine Mails im Klartext speichern (afaik werden pst-Dateien von Outlook nicht standardmäßig verschlüsselt) oder den Ordner für den Praktikanten freigeben, die Freigabe aber nicht wieder widerrufen, wenn der Praktikant weg ist.
3) Es können über alle Schnittstellen Angriffe gefahren werden. Wenn du einen SQL Server verwendest, dann können auch SQL Injections durchgeführt werden, sofern diese Bugs vom Angreifer ausgenutzt werden können. Es gibt ab einer bestimmten Abstraktion keinen Unterschied zwischen einer Web-Applikation und einem Email-Server. Beides sind letzten Endes Interfaces für den Zugriff auf die Datenbank.
4) Es gibt 100.000 Wege zum Zugriff: Über Konten von Dritten, welche die Mails weitergeleitet bekommen; Über zu offene Fileserver; Über öffentliche Ordner; Über Phishing; Über Vertreterkonten; usw...
5) Natürlich müssen verschiedene Annahmen getroffen werden, man kann nicht alles beachten. Du kannst natürlich auch annehmen, dass dein System sicher ist und daraus schliessen, dass du nichts machen musst. Ob du damit effektive Sicherheit erreichst, ist durchaus zu bezweifeln Letzten Endes musst du dich mit den Protokollen und vor allem der Serversoftware beschäftigen. Ohne das hier benötigte Wissen wirst du keine Sicherheit erreichen.

Nimm es mir nicht übel, aber alleine, dass du fragst, wie Zugriffe auf Konten geschehen können ("Die meisten Konten werden wohl durch Phishing und co geknackt?"), zeigt, dass du dir hier bisher nicht genügend Gedanken über die Sicherheit gemacht hast oder dir einfach das Wissen darüber fehlt, weswegen ich dringend von deinem Vorhaben abraten würde - auch zum Wohle meines eigenen Postfaches, das vor Spam wiedermal überläuft..