Cloudflare !?

[sebseb]

Moment, da wird gerade viel durcheinander gewürfelt.
- Nur weil ein Passwort im Klartext beim Client und beim Server steht, wird es trotzdem sicher übertragen, https, Zertifikate etc. sei dank
- Nur weil Cloudflare im Vorfeld prüft, dass du auch bloß kein Bot bist (Javascript-Magie, Captcha-Krempel, ...) muss dass noch lange nicht heißen, dass die *diese Daten* mitlesen können.
Da hat sich in den Browsern viel getan. Formulardaten wie Benutzer + Passwort werden da nicht so einfach an Dritte (Domaintrennung, CSRF, ...) gegeben, *es sei denn* die Forensoftware würde das so weiterleiten, aber "dazwischenschalten" kann sich Cloudflare da heutzutage nicht so einfach.

Das "lange Laden" ist ziemlich sicher eher Cloudflare deren Prüfung, dazu brauchen (und bekommen) die aber sicher nicht das Passwort!

 

[Reinhard]

Das "lange Laden" ist ziemlich sicher eher Cloudflare deren Prüfung,

Nochmal, hier ist kein Cloudflare als Proxy konfiguriert!

 

[Reinhard]

Das geht aber natürlich per HTTPS verschüsselt zum Server (oder Proxy) beim Betreiber und das Forum sieht das Passwort natürlich auch im Klartext.

Nö, das Forum sieht nur einen Hash des Passworts. Nur in Deinem Browser stehts im Klartext.

 

[sebseb]

Nochmal, hier ist kein Cloudflare als Proxy konfiguriert!

Das sage ich doch auch gar nicht. Vielleicht haben wir ein unterschiedliches Verständnis von Proxy.

Nö, das Forum sieht nur einen Hash des Passworts. Nur in Deinem Browser stehts im Klartext.

Das stimmt nicht, das ist auch klar im Screenshot von @ChristianW erkennbar. Aber auch das ist vielleicht aneinander vorbei geredet.
- Am Ende in der Datenbank steht (setze ich mal bei der vernünftigen Forensoftware voraus, die hier zum Einsatz kommt) es nicht mehr im Klartext. Nicht nur Hash, hoffentlich mit Salz.
- vorher "unterwegs", und "im Klartext" für die beiden Kommunikationspartner (Ende-Ende-Verschlüsselung, nicht unterwegs), aber schon

 

[ChristianW]

Moment, da wird gerade viel durcheinander gewürfelt.

Nein. Doch. Ooooh.

- Nur weil ein Passwort im Klartext beim Client und beim Server steht, wird es trotzdem sicher übertragen, https, Zertifikate etc. sei dank

Genau, das sagte ich ja

- Nur weil Cloudflare im Vorfeld prüft, dass du auch bloß kein Bot bist (Javascript-Magie, Captcha-Krempel, ...) muss dass noch lange nicht heißen, dass die *diese Daten* mitlesen können.

Genau, das sagte ich ja. Cloudflare ist hier kein Proxy, nur Captcha

Nochmal, hier ist kein Cloudflare als Proxy konfiguriert!

Genau das sagte ich ja. Nur der TO hat das anfangs angenommen oder behauptet.

- Am Ende in der Datenbank steht (setze ich mal bei der vernünftigen Forensoftware voraus, die hier zum Einsatz kommt) es nicht mehr im Klartext. Nicht nur Hash, hoffentlich mit Salz.

Genau so sollte das (hoffentlich) sein.
Im Transport verschlüsselt, beim Server kommt es im Klartext an, wird aber sofort gehasht und mit dem Hash-Wert im Benutzerdatensatz verglichen.
Data-at-rest sollte immer gehasht sein.

- vorher "unterwegs", und "im Klartext" für die beiden Kommunikationspartner (Ende-Ende-Verschlüsselung, nicht unterwegs), aber schon

Genau so.


Also Fazit:
Cloudflare "liest" nicht mit, weil es hier nicht als Proxy eingesetzt wird.
Es sieht maximal IP und Useragent, wo es das Captcha macht, also zwei Seiten bei Registrierung und Passwort vergessen meine ich.

 

[sebseb]

Worauf ich hinaus wollte: was auf Seite des Servers alles eingebunden ist, bekommen die Clients nicht mit.
Aktuell generiert der Server halte eine Anmeldeseite, die den Browser auffordert sich auch mit Cloudflare zu unterhalten, da wird dann irgendwas geprüft, Captcha eingebunden, whatever.
Es könnte (!!) aber auch möglich sein, dass (von wem dann auch immer) empfangende Daten beim Server noch sonstwohin geschickt werden. Damit wäre ein Szenario möglich, dass der Client nur direkt mit dem Server spricht, die empfangen Daten (auch per Javascript ausgelesene Bildschirmgröße, installiere Schriften, alles was einen Client halt so "einmaligem Fußabdruck" geben soll) vom Server aber weitergereicht werden zur "externen Prüfung". Für sowas gibt es üblicherweise "vom Hersteller" sowas wie Plugins für die Seite, bspw. die Forensoftware. Sowas wäre je nach Perspektive eben auch ein Proxy. Nicht andersherum, dass die Forensoftware nur noch komplett "hinter" Cloudflare erreichbar wäre.

Nun aber genug, die Fadenerstellperson ist ja eh schon weitergezogen.

 

[Quibre]

Es gab hier ein paar falsche Aussagen, auch vom Betreiber Reinhard, und möchte hier ein paar Missverständnisse sachlich aufklären, die ich vermute:
Zum einen Cloudflare wird als Proxy nicht verwendet - wer sich vergewissern möchte und Reinhard nicht vertraut (aber dennoch weiterhin hier aktiv ist?):

# dig AAAA velomobilforum.de

# dig A velomobilforum.de
78.46.6.149
# whois 78.46.6.149
[...]
address:        Hetzner Online GmbH
address:        Industriestrasse 25
address:        D-91710 Gunzenhausen
address:        Germany
[...]

Es geht also der Traffic ganz sicher zu Hetzner und bleibt vermutlich dort.

Im Klartext wird das Passwort nicht versendet, denn die Verbindung ist via TLS verschlüsselt.
Die Onlineanalyse zeigt, dass es aber auch mit unsicherem TLS verschlüsselt wird, also Angriffe darauf möglich wären - die wir nun aber ignoieren.
Aber das Passwort wird symmetrisch verschlüsselt und kein Hash im Client berechnet um diesen an den Server zu senden.
Der Server sieht also sehr wohl das Passwort im Klartext, wenn sich jemand anmeldet.
Auf dem Server sollte aber in der Regel nur ein Hash gespeichert sein.

Wäre es technisch möglich das Passwort kryptographisch zu übertragen, so dass der Server es nie zu Gesicht bekommen könnte? Kurz: Nein.
Wichtig: Hier ist die Rede von können, nicht von wollen!
Das Passwort wird in ein Passwortfeld eingetragen, welches jederzeit ausgelesen werden kann. Die Seite kann dies selbst tun und vom Server aus kommt diese Seite. Also ist die Antwort leider nein.
Wenn es technisch unmöglich wäre das Passwortfeld auszulesen, dann wäre es ebenfalls nicht möglich, denn dann könnte kein Script dass Passwort verschlüsseln.
Technisch gibt es solche Verfahren, sind aber in der Praxis kaum anzutreffen. Die derzeitigen Hashes sind mehr als sicher genug. Dass das Passwort an den Server gesendet wird, stellt erst einmal kein Problem dar.
Wenn also Cloudflare als Proxy verwendet werden würde, könnte es das Passwort derzeit sowieso mitlesen können. Als Proxy könnte es auch die gesamte Seite umgestellten, also auch technisch das Passwortfeld mitlesen.

Wenn nun Cloudflare eingebunden ist, läuft deren Javascript und dieses ist in der Lage den gesamten DOM zu lesen, sprich die gesamte Seite und auch das Passwortfeld. Cloudflare behauptet zwar explizit, so etwas nicht zu tun, aber rein technisch ist es möglich. Ich möchte hier das Niederländische-Bevölkerungsregister-Argument heranziehen.
Aber hier ist Cloudflare nur für Captchas auf der Regstrierseite eingebaut, also könnte Cloudflare nur beim Registrieren das Passwort mitlesen. Man kann das Passwort anschließend ändern.