CloudBleed: Wechselt eure Passwörter!

[Christoph Bergmann]

Hallo zusammen,

 

heute ist leider der Tag des Passwortwechsels ... Bitte entschuldigt die Unannehmlichkeit.

 

Ein heute öffentlich bekannt gegebener Fehler (Stichwort: “cloudbleed”) bei unserem Dienstleister Cloudflare betraf weltweit mehrere Millionen Webseiten und leider auch bitcoin.de.

 

Der Fehler, der in nur sehr seltenen Fällen zu einer ungewollten Veröffentlichung auch von verschlüsselten Informationen führen konnte, wurde seitens Cloudflare mittlerweile behoben. 

 

Aus Sicherheitsgründen empfehlen wir als Vorsichtsmaßnahme dringend allen Kunden, ihr Passwort auf bitcoin.de zu ändern.

 

Bei einer 2-Faktor-Authentifizierung über eine App (wie beispielsweise Google-Authenticator) ist die Wahrscheinlichkeit, dass der einmalig angezeigte Seed veröffentlicht wurde, noch wesentlich geringer. Dennoch empfehlen wir auch hier unseren Kunden, die 2-Faktor-Authentifizierung zu deaktivieren und sofort wieder zu aktivieren (Yubikey und Passwort-Tabelle sind hiervon nicht betroffen).

[Serpens66]

danke für die info.

 

Auch im bitcoin.de profil wird die meldung nun angezeigt. Allerdings verweist der darin enthaltene link um das passwort zu ändern auf die englische bitcoinde seite. Evlt sollte man den link auch abhängig von der Sprachauswahl machen, könnte sonst für verwirrung sorgen ^^

Bearbeitet 24. Februar 2017 von Serpens66

[tdk]

Ich vermute jetzt einfach mal, daß dieser Fehler bei Cloudflare bitcoin.de und anderen betroffenen BTC-Börsen (es sind fast alle großen dabei...) schon ein paar Tage bekannt war.

Das würde paranoide Reaktionen und lange Support-Wartezeiten erklären...

 

Hier:

https://github.com/pirate/sites-using-cloudflare

 

wird eine Liste aller betroffenen Domains geführt (bei weitem nicht nur BTC-Seiten), jeder sollte da mal kurz nach domains schauen, bei denen er etwas schützenswertes liegen hat,

Und dann auch dort Passwort, 2FA, Sicherheitsfragen etc ändern.

[Axiom0815]

 

Die 2-Faktor-Authentifizierung kann aus folgenden Gründen nicht deaktiviert werden:

- Fidor-Connect ist noch aktiv. Fidor-Connect lösen >>

 

Heißt was?

Muss ich irgendwas bei Fidor machen?  Nachtrag: erledigt.

 

Axiom

Bearbeitet 24. Februar 2017 von Axiom0815

[Serpens66]

ohman... erst hat bitcoin.de wohl nur empfohlen das passwort zu ändern. Hab ich gemacht.

Jetzt haben sie von allen Usern das Passwort resettet und man muss bei Anmeldung nun ein "neues" passwort vergeben.

Dumm nur, mein bereits neu gewähltes Passwort kann ich aber nicht verwenden, weil es ja das "aktuelle" Passwort ist -.-

[Axiom0815]

Man, wie gekonnt ihr den Support mit Aufgaben zu spammt, alle Achtung!

 

Zu erst dachte ich, naja, die TAN mit Grußbuchstaben, aber bei der Eingabe Standard Kleinschreibung...

 

Aber, der QR-Code für die Authentifizierung, so klein, dass man es mit Photoshop erst vergrößern musste.

Kompliment, das hatte ich auch noch nie!

 

Axiom

[Axiom0815]

ohman... erst hat bitcoin.de wohl nur empfohlen das passwort zu ändern. Hab ich gemacht.

Jetzt haben sie von allen Usern das Passwort resettet und man muss bei Anmeldung nun ein "neues" passwort vergeben.

Dumm nur, mein bereits neu gewähltes Passwort kann ich aber nicht verwenden, weil es ja das "aktuelle" Passwort ist -.-

 

Da fehlt mal wieder der Notfallplan, wie man auf welche Ereignisse richtig reagiert.

[Christoph Bergmann]

ohman... erst hat bitcoin.de wohl nur empfohlen das passwort zu ändern. Hab ich gemacht.

Jetzt haben sie von allen Usern das Passwort resettet und man muss bei Anmeldung nun ein "neues" passwort vergeben.

Dumm nur, mein bereits neu gewähltes Passwort kann ich aber nicht verwenden, weil es ja das "aktuelle" Passwort ist -.-

 

Kommst du denn in dein Konto rein?

[Serpens66]

Kommst du denn in dein Konto rein?

ja, habe mein altes passwort wieder eingesetzt und dann nochmal manuell zum neuen passwort gewechselt.

Ist halt nur unnötiger Aufwand, aber ist alles in ordnung.

[Trooper]

Hm. Der erste Versuch das PW zu ändern schlug fehl bei mir.

Einen 2. Versuch kann ich aber nicht machen.

 

 

Diese Aktion ist zurzeit nicht möglich

 

Habe ich was vergessen?

 

*edit*

 

Jetzt könnte ich. Mein Problem ist aber, das das Feld für die PW Wiederholung grau hinterlegt ist und ich nix reinschreiben kann.

Bearbeitet 24. Februar 2017 von Trooper

[Axiom0815]

Hm. Der erste Versuch das PW zu ändern schlug fehl bei mir.

Einen 2. Versuch kann ich aber nicht machen.

 

 

Habe ich was vergessen?

 

*edit*

 

Jetzt könnte ich. Mein Problem ist aber, das das Feld für die PW Wiederholung grau hinterlegt ist und ich nix reinschreiben kann.

 

War bei mir auch.

Okay geben, der merkert und dann noch mal...

Dann kam auf einmal eine Anzeige, wie stark das Passwort ist und man kam es dann auch wiederholen.

 

Einfach durchkämpfen, die Jungs bei Bitcoin stehen wohl unter Stress.

[Trooper]

Habe wenigstens das OTP deaktiviert/aktiviert.

Mit dem PW habe ich jetzt 4x versucht, und bei mir bleibt das Feld grau zur Wiederholung des PW`s.

Mal schauen ob es später geht....

[azu393]

bei mir gings alles ohne Probleme....

[Axiom0815]

Habe wenigstens das OTP deaktiviert/aktiviert.

Mit dem PW habe ich jetzt 4x versucht, und bei mir bleibt das Feld grau zur Wiederholung des PW`s.

Mal schauen ob es später geht....

Falls Du das Passwort nicht live tipps, sondern rein kopierst, probiere mal mit der "normalen Eingabe".

Könnte ein Javascript im Hintergrund laufen.

[towitoko]

Ich hab das Problem, dass ich das Kennwort ändern könnte und nach der Deaktivierung der 2-Wege-Authentifizierung die TAN per Mail an meine Mail-Adresse erst nach Stunden ankommt. Die TANs von Gesten Nachmittag kamen erst heute Nacht bzw. heute Morgen.

 

Dann sind sie aber anscheinend nicht mehr gültig. Mails von anderen Adressen werden aber auch sofort zugestellt. Warum dauert das so lange bzw. wie komm ich jetzt in mein Konto?

 

Gruß Kai

[Axiom0815]

Man sollte die ganze Frage überdenken, ob der Server von Bitcoin.de in San Francisco (US) stehen muss.

Neben den Datenschutz, was ja novelliert wurde, sprich US-Datensammler entsprechen nicht den EU-Datenschutz und halten sich nicht an Deutsche Gesetze, geht es ja auch um finanzielle Werte bei Bitcoin.

Die letzten beiden "Einschläge" Fidor-Konto (höhere Macht) und jetzt CloudBleed sollte man in Hause von Bitcoin.de als Warnung werten.

Vielleicht ist der dritte Einschlag tödlich?

 

Aus meinen Erfahrungen sind die größten Probleme/Gefahren die, die nicht ständig drängeln, sondern wie so eine Wasserbombe unter der Oberfläche treiben.

 

Aber, das geht mich nichts an!

 

Axiom

Bearbeitet 25. Februar 2017 von Axiom0815

[Wronnay]

Ich vermute jetzt einfach mal, daß dieser Fehler bei Cloudflare bitcoin.de und anderen betroffenen BTC-Börsen (es sind fast alle großen dabei...) schon ein paar Tage bekannt war.

Das denke ich nicht. Ich betreibe ein paar Seiten, die Cloudflare nutzen, und wurde erst einen Tag nach dem Blog-Post (also am 24.02) per E-Mail vom CEO (Matthew Prince) informiert.

 

Man sollte die ganze Frage überdenken, ob der Server von Bitcoin.de in San Francisco (US) stehen muss.

 

Die Server von CloudFlare stehen dort. Ich glaube nicht, das die eigentlichen Server von Bitcoin.de auch in den USA stehen. Wahrscheinlich eher in Frankfurt am Main. (Die Inhalte werden nicht direkt bei CloudFlare gehostet, sondern über CloudFlare ausgeliefert. Der eigentliche Server wird "versteckt".)

 

CloudFlare galt bisher als einer der größten und besten Anbieter gegen DDoS-Angriffe. Die meisten solchen CDN-Anbieter haben leider den Sitz im Ausland.

[towitoko]

Ich hab das Problem, dass ich das Kennwort ändern könnte und nach der Deaktivierung der 2-Wege-Authentifizierung die TAN per Mail an meine Mail-Adresse erst nach Stunden ankommt. Die TANs von Gesten Nachmittag kamen erst heute Nacht bzw. heute Morgen.

 

Dann sind sie aber anscheinend nicht mehr gültig. Mails von anderen Adressen werden aber auch sofort zugestellt. Warum dauert das so lange bzw. wie komm ich jetzt in mein Konto?

 

Gruß Kai

Die Anmeldungstan von 7 Uhr kam dann erst wieder um 13:26 Uhr. Leute, ich will gerne in mein Konto!

[Axiom0815]

Die Anmeldungstan von 7 Uhr kam dann erst wieder um 13:26 Uhr. Leute, ich will gerne in mein Konto!

 

Poste mal den Email.Header. Dann kann man sehen wo die Email so lange rum bummelt, oder ob sie wirklich erst nach 13 Uhr verschickt wurde.

Wenn ja, ist dies auch eine "nette Variante" um ein Konto zu sperren.

 

Axiom

[Christoph Bergmann]

ja, habe mein altes passwort wieder eingesetzt und dann nochmal manuell zum neuen passwort gewechselt.

Ist halt nur unnötiger Aufwand, aber ist alles in ordnung.

 

Ok. Kommt eben auch nicht alle Tage vor ...

[Christoph Bergmann]

@Axiom

 

Ja, die Dominanz von CloudFlare ist schon beunruhigend. Aber offensichtlich gibt es einfach niemand, der das besser zu diesem Preis anbieten kann. Und ja, eine europäische Alternative wäre klasse anstatt der üblichen Digital-Abhängigkeit von den USA.

[Coiner999]

Seit 2 Tagen habe ich mich bei Bitcoin.de ca. 5x versucht anzumelden. Statt der üblichen Meldung, dass ich in Kürze eine TAN per erhalte, erscheint die Meldung, dass ich per Mail einen Link zur Änderung meines Passwortes erhalten soll.

Bisher kam nicht eine Mail von Bitcoin.de an. Was ist da los und wie kann ich den Link zur Passwortänderung bekommen?

[Christoph Bergmann]

Haben Sie schon mal im Spam-Ordner Ihres E-Mail-Providers geschaut? Wäre möglich, dass die E-Mail dort versackt ist ... ansonsten sollten Sie den Support kontaktieren.

[Coiner999]

Klar habe ich immer in meinem Spam-Ordner nachgesehen aber da war nichts. Die Mails kamen vorher auch immer direkt im Posteingang an und blieben da.

 

Kaum hatte ich das hier geschrieben, funktionierte es wieder wie gewohnt. Die Mail mit dem Link für die Passwortrücksetzung und dann die Mail mit der TAN für die Anmeldung kamen sofort an.

 

Ich bin noch nicht so lange Mitglied bei Bitcoin.de aber kam sowas schon mal vor, dass eine Zeit lang keine Bestätigungsmails verschickt wurden?

Die Mails wurden definitiv nicht verschickt, sonst hätten ja die Bestätigungsmails mit TAN bzw. Link zur Passwortrücksetzung für alle meine bisherigen Anmeldeversuche jetzt noch ankommen müssen.

 

Alles gut.

Bearbeitet 6. März 2017 von Coiner999

[Christoph Bergmann]

Eigentlich nicht. Zumindest habe ich nie etwas davon gehört, dass Mails nicht versendet wurden / nicht angekommen sind. Seltsam.

 

Gut aber, dass es jetzt klappt. Wenn du Interesse hast, frage ich mal in der Technik nach, was da los war.