Sicherheitsloch bei t-online?

Hallo,

eure Meinung zu folgendem Effekt: =

User A meldet sich als t-online Kunde (DSL) zum Web-Mail Dienst an. Er braucht dazu seinen t-online Zugangscode. Dann kann er ein Password w=E4hlen, und bekommt eine e-mail Adresse. Funktioniert so weit so gut. =

User B besucht User A und meldet sich mit seinem Password am PC von User A an um seine Mails (die von B) zu lesen. Dazu verwendet er sein Password (PW von B) was er aber am Bildschirm bekommt sind die Mails von A !!!!!! Seine eigenen Mails (die von B) kann er am PC von A nicht abrufen und nicht lesen !

Interpretationsversuch. Die Software von t-online richtet sich nur nach dem Zugangscode den es sich vom DSL Modem holt, nimmt dann aber ein beliebiges g=FCltiges Password...oder so..

Kann das jemand mal nachvollziehen? .. bei mir hier geht das so. Wenn das allgemein so w=F6re w=E4rs ein dicker Klopfer.

ich wei=DF ich bin etwas OT aber, das ist die einzige Newsgroup in die ic= h einigerma=DFen regelm. reinschaue.

Gr=FC=DFe =

Markus Greim

Reply to
greim
Loading thread data ...

greim schrieb:

Ich verstehe zwar nicht genau was Du willst, ich kann nur sagen, dass man über POP3/SMTP immer die Mails von dem User bekommt/verschickt, über dessen T-Online-Account man im Netz hängt, Benutzername und Passwort werden dabei nicht geprüft.

Na das is aber ein Grund...

Reply to
Jens Heinemann

Poste die Frage doch einfach mal in Deinen Kühlschrank, dort schaust Du doch auch regelmäßig rein.

Oder?!

verwunderte Grüße, Thomas.

Reply to
Thomas Rehm

Ich unterstütze den Vorschlag! :-)

Reply to
Lars Mueller

Kein Klopfer. Das ist so irgendwo dokumentiert. Beim DSL-Setup muss man als Mail-Passwort nur einen Punkt angeben. Die Identifikation erfolgt über die T-Online Kennung sowie die Mitbenutzer-Nummer.

Kurz: man kann von einem DSL-Account nur die Mails für den Account abholen. Wenn das nicht passt, besorgt man sich einen separaten Mail-Account bei den üblichen Verdächtigen.

Andreas

--
Andreas Tönne @ home
mailto:atoenne@t-online.de * http://www.atoenne.de
phone x49 231 52 97 00 * mobile 0179 5457 222
==
Dipl.Inform. Andreas Tönne * Prokuristv * Georg Heeg eK  * Informatikleitung
mailto:atoenne@heeg.de * http://www.heeg.de
phone  x49 231 9 75 99 0/36 * fax x49 231 9 75 99 20
Reply to
=?iso-8859-1?Q?Andreas_T=F6nne

Das stimmt so nicht sondern nur für den Zugriff auf das Postfach per POP3. Bei Webmail muß durchaus das (richtige) Passwort angegeben werden.

Bernd

Reply to
Bernd Laengerich

DSL ist unerheblich.

Ja.

Nein, er bekommt einen Web-Zugang auf sein e-Mail-Postfach. Das Postfach existiert immer.

Ja.

Die Anmeldung am PC hat nichts mit dem T-Online-Zugang oder dem Webzugang auf das Postfach zu tun, oder meinst Du das nicht?

Nein. Oben steht erst einmal "Webmail", das hat nichts mit dem T-Online-Zugang zu tun sondern kann auch über "wildfremde" Provider abgefragt werden. Der Zugang ist mit einem eigenen Passwort, unabhängig von den T-Online-Zugangsdaten. Das _sollte_ also vollkommen unabhängig vom Zugang abgefragt werden können.

Doch. Er öffnet den Browser, gibt als URL ein

formatting link
gibt dann seine E-Mail-Adresse und sein Webmail-Passwort ein und liest seine Mails.

Von fremden Providern geht das problemlos, vom eigenen Account auch, aber mangels eines anderen Webmail-Faches bei T-Online kann ich die Frage nicht zweifelsfrei beantworten. Es könnte latürnich sein, daß bei Nutzung eines T-Online-Zuganges auch nur Webmail des eigenen Postfaches geht (wäre ziemlich dämlich und vor allem unnötig kompliziert)

Die Software von T-Online hat mit Webmail rein gar nichts zu tun. Die T-Online-Software nutzt den POP3, und da kann bekanntermaßen nur das eigene Postfach gelesen werden.

Sehr sinnvoll. Ich wollte die Antwort zunächst nach dag senden, weil ich dort regelmäßig schreibe ...

Bernd

Reply to
Bernd Laengerich

Nein. Er meldet sich mit seinen Zugangsdaten bei T-Online an und ist von daher dem System bekannt. Weitere Fragen beantwortet Ihnen gerne die Hotline unter 01805 345 345, und mal abgesehen davon: Ich habe mit T-Online keine Probleme.

Das ist kein Grund, dermaßen off-topic zu posten. Ich habe zur Zeit auch nur de.rec.tiere.katzen und de.sci.electronics unter den "subscribed newsgroups" im Abo. Vielleicht lege ich beide Gruppen zusammen und mache daraus de.all?

Holger

Reply to
Holger Bruns

Danke ! Markus Greim

------------------------------------------

Thomas Rehm wrote:

e
Reply to
greim

Wieder was dazugelernt, werde meinem K=FChlschrank davon erz=E4hlen ;-)

Gr=FC=DFe

Markus Greim

Reply to
greim

Holger Bruns schrieb:

Nein. Mach doch einfach de.bruns.holger daraus. Ich wette, dass der Traffic gigantisch wird.

Marc

--
Serien, bei denen ich mich aufrege, gibts genug, z.B.
Verbotene Liebe oder Marienhof.
Tagesschau ist irgendwie anders, das ist 
Aufregen auf hohem Niveau. (Manfred Dösl)
Reply to
Marc Fehrenbacher

greim schrieb:

Darf ich das als Zitat in meine Sig nehmen?

Gruß Gerd

Reply to
Gerd Kluger

e ich

Selbstverst=E4ndlich ! =2E..oh ich werde von nun an eine Spur im Cyberspace hinterlassen.. =2E.die wird bleiben auch wenn ich einmal nicht mehr posten kann... das muss ich meinem K=FChlschrank (Siemens!) erz=E4hlen..

Reply to
greim

greim wrote in news: snipped-for-privacy@schleibinger.com:

Exakt. Du scheinst die Nachrichten mittels POP3-Protokoll abgerufen zu haben. Die Nutzernummer ist egal und das Passwort ist immer ein Punkt '.', wenn ich mich richtig erinnere. Steht aber auch alles im Supportbereich von T-Online.

Gruß Gunther

Reply to
Gunther Mannigel

"Gunther Mannigel" schrieb im Newsbeitrag news:Xns9433C0A089B88GuntherMannigel@130.133.1.4...

von

Hallo! t-online POP3 ist ein anmelde- und gebührenpflichtiger Dienst welcher zur Anmeldung die EMail-Adresse und das individuelle Paßwort erfordert. Nix "." :-)) Gruß von Hartmut

Reply to
Hartmut Feller

Jein. POP3 über den zugehörigen T-Online-Account ist natürlich kostenlos, mit dem kostenpflichtigen POP-Postfach könnte B allerdings auch am Rechner von A oder sonstwo seine Mails mit seinem Passwort via POP3 abrufen. Normale Nutzer können dies halt nur über webmail.

Gruß Jens

Reply to
Jens Heinemann

Nur mal grundsätzlich: Wenn der User B sein DSL-Modem mitgebracht hätte, wäre er trotzdem nur an die Mails von Nutzer A gekommen. Das Modem sendet keine für das Login relevanten Codes an den RAS-Server. Das Login setzt sich ausschließlich aus den Benutzerinformationen, also T-Online-Kennung, Mitbenutzer und Passwort zusammen.

Richtig, weil es auch über Modem oder ISDN so ist, dass der T-Online DialIn Server diese Information mit Prio 1 verwertet. Alle verfügbaren und ggf. extra bezahlten Dienste der T-Online werden von dieser Zugangskennung abhängig gemacht.

Richtig, es ist das gleiche Postfach, dass auch über POP3 erreichbar ist. Dieses WEB-Mail verlangt aber ein eigenes Passwort, was nicht mit dem des Analog/ISDN/DSL-Zugangs übereinstimmen muss und nach meinem Dafürhalten auch nicht sollte.

Das ist zunächsteinmal richtig. In der normalen kostenfreien Version kann man nur sein WEB-Mail von seinem T-Online Account abfragen. Alles andere kostet extra.

Das Passwort für WEBmail ist separat zum Login-PW des Zugangs. Es ist aber in der kostenlosen Version des WEB-Mail ebenso mit der Zugangsnummer und zugehörigem Account veknüpft wie alle anderen von der T-Online zusammengeschrumpften Mail und News Features. Nicht um sonst zahle ich jeden Monat noch einmal 2.50¤ für den Mail-Relayzugang, damit ich auch von zu Hause aus über meinen eigenen eMail-Server unter meiner Firmen-email Addi posten kann. Das baut der T-Online-server nämlich sonst immer in meine T-Online Addi um. Und weil der mich monatelang gezwungen hat diese Addi zu verwenden habe ich diese Adresse eben ausschließlich zum Spam-Sammeln.

Das weiß ich jetzt nicht genau. Es _kann_ sein, dass das mit dem kostenlosen WEB-Mail geht, muss aber nicht. Spätestens, wenn der User B aber mal über einen anderen Provider reinkommt, wird ihn die T-Online freundlich darauf hinweisen, dass er bitte das ProMail Paket oder wie auch immer es heißt, buchen möchte, damit er das kann.

Das stimmt. Die T-Online-Software kann man dür soetwas überhaupt nicht einsetzen. Sie hat eh keine Daseinsberechtigung außer das Zerstören gerade so funktionsfähiger gängiger und anfälliger Betriebssysteme. (Sorry ist mir so rausgerutscht)

Nett, dass Du das einsiehst und das sollte Dich dazu veranlassen mal die ein oder andere Newsgroup zu buchen. Es gibt noch mehr da draußen und auch was passendes für diese Feststellung.... t-online....

Und wenn Du dann noch Deinen Realnamen in deinen Newsreader einstellst, dann wäre auch der zweite kleine Patzer behoben.

Gruß,

Ulrich

Reply to
Ulrich Prinz

Habe ich nie behauptet.

Öhm, nein. Jeder Nutzer kann mit _seinem_ Webmailzugang _sein_ Postfach abfragen.

Das eine hat mit dem anderen nur indirekt zu tun. Zugangsnr. ist nur für den Zugang über t-online da, die ist an den Vertrag mit T-Online gekoppelt, der u.a. die Bereitstellung des Postfaches regelt. Webmail-Zugang regelt nur den Zugang zu diesem Postfach.

smtp-relay ist etwas völlig anderes, diese Leistung regelt das Versenden von E-Mails anderer Domains über T-Online. Das hat rein gar nichts mit dem Postfach zu tun, es gilt nur für ausgehende E-Mails.

Die Diskussion darüber ist so alt wie T-Online, den smtp-relay hat T-Online versuchsweise eingesetzt als es regelmäßig Protest über dieses Vorgehen hagelte 8es ist auch nicht durch die RFCs abgedeckt).

Es geht. Ich mache es so.

Nein.

100% ACK

Das gilt ebenfalls nicht für mich.

Bernd

Reply to
Bernd Laengerich

ElectronDepot website is not affiliated with any of the manufacturers or service providers discussed here. All logos and trade names are the property of their respective owners.