*Wolfgang Bauer* meinte:
> Martin Schnitkemper schrieb:

>> Du redest dir das Problem selber schön. Fairerweise hättest du auch die
>> negativen Aspekte zitieren sollen:

> Kennst Du Probleme, welche?

Zunächst: Hast du das Zitat von Martin schon gelesen und verstanden?

nur drei weitere gravierende Probleme:
- Dialog ist heute nicht mehr in der Lage gesicherte NNTP-Verbindungen
aufzubauen
- Dialog ist heute nicht mehr in der Lage selbstständig Verbindungen zu
einem Mail-Server aufzubauen (veraltete SSL-Implementierung)
- Dialog umgeht per Default die UAC von Windows!

Ohne Hamster/stunnel oder ähnlichen Hilfsmitteln ist Dialog heute nicht
mehr zu gebrauchen. Zudem wird eines Tages auch der Standard-Port 119
(NNTP) nicht mehr bei allen News-Servern zur Verfügung stellen.

Auch ich schätze Dialog aufgrund seiner internen Funktionen sehr.
Allerdings sollte man bei der Beurteilung jenes Programms bezüglich der
Sicherheit nun doch schon fair bleiben und nicht so tun, als wäre alles
in bester Ordnung.

Thomas 😷
--
== S E N D E Z E I T ============  DATUM : Mittwoch, 15. Mai 2024
  UHRZEIT: 16:47:08 UHR (MESZ)
== Heute: Tag der Nylonstrümpfe =

Thomas Barghahn schrieb:
> *Wolfgang Bauer* meinte:
>> Martin Schnitkemper schrieb:

>>> Du redest dir das Problem selber schön. Fairerweise hättest du auch die
>>> negativen Aspekte zitieren sollen:

>> Kennst Du Probleme, welche?

> Zunächst: Hast du das Zitat von Martin schon gelesen und verstanden?

> nur drei weitere gravierende Probleme:
> - Dialog ist heute nicht mehr in der Lage gesicherte NNTP-Verbindungen
> aufzubauen
> - Dialog ist heute nicht mehr in der Lage selbstständig Verbindungen zu
> einem Mail-Server aufzubauen (veraltete SSL-Implementierung)
> - Dialog umgeht per Default die UAC von Windows!

> Ohne Hamster/stunnel oder ähnlichen Hilfsmitteln ist Dialog heute nicht
> mehr zu gebrauchen. Zudem wird eines Tages auch der Standard-Port 119
> (NNTP) nicht mehr bei allen News-Servern zur Verfügung stellen.

> Auch ich schätze Dialog aufgrund seiner internen Funktionen sehr.
> Allerdings sollte man bei der Beurteilung jenes Programms bezüglich der
> Sicherheit nun doch schon fair bleiben und nicht so tun, als wäre alles
> in bester Ordnung.

Auf Dialog direkt bezogen stimmt das. Im Zusammenhang mit dem Hamster
und deinen Scripten paßt es aber.

Freundliche Grüße
Wolfgang
--
Die Katze ist nicht mein Gefangener,
sondern ein unabhängiges Wesen von fast gleichem Status,
das zufällig im selben Haus lebt, wie ich.
Konrad Lorenz

Am Mi, 15.05.2024 um 16:09 schrieb Wolfgang Bauer:

> Kennst Du Probleme, welche?

Die Probleme wurden dir doch genannt, hast du aber bewusst wieder nicht
zitiert

| Weder wurden seither erkannte Programmfehler behoben noch
| potenzielle Sicherheitslücken geschlossen.

Bei einer Risikobewertung ist es irrelevant, ob eine Sicherheitslücke schon
ausgenutzt wurde, sondern ob sie ausgenutzt werden könnte.

http://www.cj-web.de/40tude-dialog-faq/:

| Das Projekt wurde vor einigen Jahren von Marcus eingestellt. Als sich dann
| herausstellte, dass einige der von 40tude-Dialog genutzen
| Programmbibliotheken wohl gravierende Sicherheitslücken aufweisen, nahm
| Marcus auch die Projekt-Website vom Netz.

Selbst der Entwickler war verantwortungsvoll genug, sein Projekt wegen
gravierender Sicherheitslücken zurückzuziehen aber der hat ja im Gegensatz
zu dir auch keine Ahnung.

--
‣ Powered by Arch Linux x86_64 🐧 Kernel: 6.8.9-arch1-2 | KDE-Plasma 6.0.4
‣ Installed 3804 days ago, up 3 days, 6 hours, 45 minutes
‣ +++ Immerzu: Geschäft hat vom 01.-31.03. durchweg geschlossen +++

Thomas Barghahn <Th.Barghahn@t-online.de> wrote:
> - Dialog ist heute nicht mehr in der Lage gesicherte NNTP-Verbindungen
> aufzubauen

Ernstgemeinte Frage ohne Zynismus: Hat das praktiche Relevanz?

> mehr zu gebrauchen. Zudem wird eines Tages auch der Standard-Port 119
> (NNTP) nicht mehr bei allen News-Servern zur Verfügung stellen.

Ist das wirklich so? Ist nicht Usenet im Prinzip ein "eingefrorenes"
Medium, mit hautpsächlich historischer Bedeutung, wo keine großen
Neuerungen mehr zu erwarten sind?

/ralph

*Wolfgang Bauer* meinte:
> Thomas Barghahn schrieb:

>> Allerdings sollte man bei der Beurteilung jenes Programms bezüglich der
>> Sicherheit nun doch schon fair bleiben und nicht so tun, als wäre alles
>> in bester Ordnung.

> Auf Dialog direkt bezogen stimmt das. Im Zusammenhang mit dem Hamster
> und deinen Scripten paßt es aber.

Die bereitgestellten Scripte haben keinerlei positive Auswirkungen auf
die Sicherheitslücken Dialogs!

Auch der Hamster arbeitet mit einer alten OpenSSL-Version
(OpenSSL 1.0.2u 20 Dec 2019), die (nur) TLS1.2 zur Verfügung stellt.
Würden also nur noch die TLS-Versionen ab 1.3 zugelassen sein, so wäre
diese Situation auch für den Classic-Hamster (ohne weitere Pflege)
"tödlich". Auch der Classic-Hamster "werkelt" heute per Default an der
UAC von Windows vorbei, was die veraltete OpenSSL-Version durchaus
angreifbar macht.

Siehe hierzu auch den (Ur-)Hamster-Playground, welcher auch nur noch mit
Hilfsmitteln zu betreiben wäre, wenn man den Port 119 einstellen würde.

Schlussendlich "passt" also gar nichts mehr, was das Betreiben von
Dialog auch nur ansatzweise berechtigt und eine Bewerbung dieses NR
zulässt. Es sei denn, dass sich die User über die Risiken und Gefahren
beim Betreiben jener Software "im Klaren" sind und persönlich
einschätzen können, welche Konsequenzen im Falle eines Falles zu
ertragen sind.

Thomas 😷
--
== S E N D E Z E I T ============  DATUM : Mittwoch, 15. Mai 2024
  UHRZEIT: 17:44:14 UHR (MESZ)
== Heute: Tag der Nylonstrümpfe =

*Ralph Aichinger* meinte:
> Thomas Barghahn <Th.Barghahn@t-online.de> wrote:

>> - Dialog ist heute nicht mehr in der Lage gesicherte NNTP-Verbindungen
>> aufzubauen

> Ernstgemeinte Frage ohne Zynismus: Hat das praktiche Relevanz?

Ob der Port 119 in der Zukunft tatsächlich einmal eingestellt wird, das
bleibt abzuwarten. Klar ist jedoch, dass die Serverbetreiber auch heute
schon (nntps) anbieten. Das Abschalten des Standard-Ports würde den
Betreibern wahrscheinlich nur ein Lächeln kosten.

Auch geht es nicht darum, ob es eine "praktische Relevanz" gäbe, sondern
dass es eine praktische Relevanz bzgl. der Sicherheit (siehe Port 119
mit Passwortübertragung im Klartext) hat!

>> mehr zu gebrauchen. Zudem wird eines Tages auch der Standard-Port 119
>> (NNTP) nicht mehr bei allen News-Servern zur Verfügung stellen.

> Ist das wirklich so? Ist nicht Usenet im Prinzip ein "eingefrorenes"
> Medium, mit hautpsächlich historischer Bedeutung, wo keine großen
> Neuerungen mehr zu erwarten sind?

Ob "größere Neuerungen" bzgl. der Sicherheit im UseNet nicht mehr
durchgesetzt werden, dieses könnte u.U. auch per Verfügung der Betreiber
oder gar durch ein Gesetzt sehr schnell "vom Tisch" sein.

Thomas 😷
--
== S E N D E Z E I T ============  DATUM : Mittwoch, 15. Mai 2024
  UHRZEIT: 18:10:32 UHR (MESZ)
== Heute: Tag der Nylonstrümpfe =

Thomas Barghahn <Th.Barghahn@t-online.de> wrote:
> Ob der Port 119 in der Zukunft tatsächlich einmal eingestellt wird, das
> bleibt abzuwarten. Klar ist jedoch, dass die Serverbetreiber auch heute
> schon (nntps) anbieten. Das Abschalten des Standard-Ports würde den
> Betreibern wahrscheinlich nur ein Lächeln kosten.

Wie meinst du das? Ich denke die meisten heutigen Serverbetreiber tun
dies aus irgendeiner Form von Techno-Sentimentalität, Interesse für
Netzgeschichte o.ä. und wollen eher nicht unüberlegt historische Clients
aussperren. Mag sein, dass ich mich täusche.

> Auch geht es nicht darum, ob es eine "praktische Relevanz" gäbe, sondern
> dass es eine praktische Relevanz bzgl. der Sicherheit (siehe Port 119
> mit Passwortübertragung im Klartext) hat!

Seit Google Groups abgedreht worden sind, aus welchem Grund sollte
jemand einen Usenet-Zugang hijacken wollen?

> Ob "größere Neuerungen" bzgl. der Sicherheit im UseNet nicht mehr
> durchgesetzt werden, dieses könnte u.U. auch per Verfügung der Betreiber
> oder gar durch ein Gesetzt sehr schnell "vom Tisch" sein.

Warum sollten "die Betreiber" das tun wollen?

/ralph

*Ralph Aichinger* meinte:
> Thomas Barghahn <Th.Barghahn@t-online.de> wrote:
>
>> Ob der Port 119 in der Zukunft tatsächlich einmal eingestellt wird, das
>> bleibt abzuwarten. [...]
>
> Wie meinst du das? Ich denke die meisten heutigen Serverbetreiber tun
> dies aus irgendeiner Form von Techno-Sentimentalität, Interesse für
> Netzgeschichte o.ä. und wollen eher nicht unüberlegt historische Clients
> aussperren. Mag sein, dass ich mich täusche.

Deshalb schrieb ich weiter oben, dass ein Gesetzt genau diese Situation
sehr schnell ändern könnte.

>> Auch geht es nicht darum, ob es eine "praktische Relevanz" gäbe, sondern
>> dass es eine praktische Relevanz bzgl. der Sicherheit (siehe Port 119
>> mit Passwortübertragung im Klartext) hat!
>
> Seit Google Groups abgedreht worden sind, aus welchem Grund sollte
> jemand einen Usenet-Zugang hijacken wollen?

Bspw. genau die Leute, die einst ihren Spam mit teilweise
strafrechtlichen Inhalt (siehe Verkauf von gefälschten Pässen und
Führerscheinen) über Google gepostet haben. Sie könnten ihren "Unsinn"
nun ganz einfach unter deinem Namen (mit deiner Mail-Adresse) in allen
möglichen Gruppen weltweit veröffentlichen.

>> Ob "größere Neuerungen" bzgl. der Sicherheit im UseNet nicht mehr
>> durchgesetzt werden, dieses könnte u.U. auch per Verfügung der Betreiber
>> oder gar durch ein Gesetzt sehr schnell "vom Tisch" sein.
>
> Warum sollten "die Betreiber" das tun wollen?

Um User, wie bspw. dich, /nicht nur/ vor einem "Passwortklau" zu schützen!

Thomas
--
== S E N D E Z E I T ============  DATUM : Mittwoch, 15. Mai 2024
  UHRZEIT: 20:32:19 UHR (MESZ)
== Heute: Tag der Nylonstrümpfe =

Thomas Barghahn <Th.Barghahn@t-online.de> wrote:
> Bspw. genau die Leute, die einst ihren Spam mit teilweise
> strafrechtlichen Inhalt (siehe Verkauf von gefälschten Pässen und
> Führerscheinen) über Google gepostet haben. Sie könnten ihren "Unsinn"
> nun ganz einfach unter deinem Namen (mit deiner Mail-Adresse) in allen
> möglichen Gruppen weltweit veröffentlichen.

Welche Öffentlichkeit ist das noch? Ein paatausend Usenet-Leute (in
de.ALL)? Schön zum Diskutieren, zum Spammen zahlt sich das nicht mehr
aus. Da hast du mit einem hingerotzten Posting auf Twitter 100x mehr
Leute, wenn du es geschickt machst.

> Um User, wie bspw. dich, /nicht nur/ vor einem "Passwortklau" zu schützen!

Es geht nur mehr um sehr wenig. Natürlich würde ich nicht ein Posting
von einem Usenet-Server woanders verwenden, aber sonst?

Das macht auch vieles wieder einfacher.

/ralph

Ralph Aichinger <ralph@pi.h5.or.at> wrote:
> Es geht nur mehr um sehr wenig. Natürlich würde ich nicht ein Posting

Passwort, nicht Posting. Sorry.

/ralph

Martin Schnitkemper schrieb:

> Dann bleibe doch gleich bei Windows anstatt den Eindruck zu vermitteln, du
> wärst bei Linux "zuhause".

Mit "zuhause" meint er, das System regelmäßig neu zu installieren, weil es
nicht mehr lauffähig ist, und dann irgendwelche magischen Formeln (schon
sprachlich nicht verstandene engliche Begriffe) in irgendwelche
Konfigurationsdateien zu kopieren, sich zu wundern, dass es trotz der
Magie nicht funktioniert, und dann so lange in unpassenden Newsgroups zu
fragen, bis sich jemand erbarmt. Ein paar Monate später geht's dann von
vorne los.

Thomas Barghahn schrieb:

> Schlussendlich "passt" also gar nichts mehr, was das Betreiben von
> Dialog auch nur ansatzweise berechtigt und eine Bewerbung dieses NR
> zulässt. Es sei denn, dass sich die User über die Risiken und Gefahren
> beim Betreiben jener Software "im Klaren" sind und persönlich
> einschätzen können, welche Konsequenzen im Falle eines Falles zu
> ertragen sind.
>
Dann bleibt eigentlich nur flnews der zeitnah aktuallisiert wird.
Den habe ich jetzt direkt an news.individual.de mit starker Verschlüsselung
gehängt.
😵‍💫😇

Freundliche Grüße
Wolfgang
--
Das beste beim Diktieren ist, dass man Worte verwenden kann,
von denen man keine Ahnung hat, wie sie geschrieben werden!

Thomas Barghahn schrieb:

> Auch der Hamster arbeitet mit einer alten OpenSSL-Version
> (OpenSSL 1.0.2u 20 Dec 2019), die (nur) TLS1.2 zur Verfügung stellt.
> Würden also nur noch die TLS-Versionen ab 1.3 zugelassen sein, so wäre
> diese Situation auch für den Classic-Hamster (ohne weitere Pflege)
> "tödlich". Auch der Classic-Hamster "werkelt" heute per Default an der
> UAC von Windows vorbei, was die veraltete OpenSSL-Version durchaus
> angreifbar macht.
>
> Siehe hierzu auch den (Ur-)Hamster-Playground, welcher auch nur noch mit
> Hilfsmitteln zu betreiben wäre, wenn man den Port 119 einstellen würde.
>
> Schlussendlich "passt" also gar nichts mehr, was das Betreiben von
> Dialog auch nur ansatzweise berechtigt und eine Bewerbung dieses NR
> zulässt. Es sei denn, dass sich die User über die Risiken und Gefahren
> beim Betreiben jener Software "im Klaren" sind und persönlich
> einschätzen können, welche Konsequenzen im Falle eines Falles zu
> ertragen sind.

Schlussendlich muß man den PC vom Internet trennen um jeder Gefahr
zu begegnen. Ach ja, und natürlich keine fremden Datenträger einhängen.

Freundliche Grüße
Wolfgang
--
Das beste beim Diktieren ist, dass man Worte verwenden kann,
von denen man keine Ahnung hat, wie sie geschrieben werden!