Beiträge von secdash

Hi NDDT!
Danke für die Antwort!
InfiniteWP ist in der Tat ein mächtiges Tool. Unser Produkt grenzt sich insofern ab, dass wir dir sagen welche kritischen Sicherheitslücken deine Installationen haben und das schneller als die anderen. Nicht erst wenn es ein Update dazu gibt.

Viele Grüße
-- Khanh

Je nach Deploymentstrategie hast Du die betroffenen Plugins schnell deaktiviert oder entsprechend aktualisiert. Entscheidend ist ja - das können viele heute einfach noch nicht - dass Du eine Bedrohung erkennen und bewerten kannst, um dann zu entscheiden wie Du reagierst. Für viele sind zum Beispiel Lücken, die voraussetzen, dass der Angreifer vorher authentifiziert ist, weniger relevant, weil es eh nur 1-2 Admin Accounts für die Seite gibt.

Das Virtualisieren hilft natürlich in vielen Bereichen, aber auch da kannst Du höchstens schneller reagieren / deployen als dass die Virtualisierung an sich Sicherheitsprobleme löst. Würde mich mal interessieren woher dein Head of Security die Infos über neue Sicherheitslücken bekommt, denn auch der wird wieder irgendwann schlafen müssen und im Zweifel kennt der auch nicht jedes Stückchen Software, dass ihr irgendwo einsetzt auswendig. Software wird ihn nicht ersetzen können, da er über das Erkennen von Sicherheitsproblemen hinaus natürlich sehr viele wichtige strategische Dinge beeinflusst (Netzwerkstruktur, Datei- und Nutzerrechte, IDS, Firewall, etc.). Witzig dass Du das ansprichst, Patrick, mein Co-Founder kommt aus der Security Beratung und sein Ansatz ist: Die Security Leute sind eh schon überarbeitet, also sollten Rechner das automatisieren, was nur Zeit kostet und keine grauen Zellen benötigt ;-)

Zu den Daten: Ja klar, sind das sensible Daten und natürlich gelten für uns höchste Sicherheitsstandards um diese zu schützen. Aber wie vorher beschrieben liegt es auch in unserem besten Interesse die Daten unserer Kunden zu schützen und vertraulich zu behandeln.

Zu der Idee:
So etwas in die Richtung haben wir auf unserer TODO Liste, genauer genommen wollen wir einige Feature einbauen, die auch ohne unseren Service funktionieren werden. Unsere meisten Kunden sind aber Agenturen und denen ist Magento und co gerade wichtiger, weil die eben (wie Du ja auch), wissen dass man am besten nicht alle Dateirechte auf 777 setzt :D Für viele Blogger wäre das natürlich ein essentielles Feature um die WP Instanz gleich sicherer zu machen.

Ist cool wenn man das so durchziehen kann. Je nach dem in welchem Bereich man arbeitet, kommt man doch nur schwer um den Einen oder Anderen Kommunikationskanal herum.

Erstmal einen schönen Start ins Wochenende :D

[FONT=Arial]Hi Brawler,[/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]vielen Dank für Deine Meinung zum Agenturmarkt, wir haben in Gesprächen durchaus andere Erfahrungen gemacht. Nämlich, dass viele Agenturen manuell nicht mehr in der Lage sind 100te oder 1000de Websites zu überwachen. Bei Magento und TYPO3 ist es natürlich so, dass Du bei Core Sicherheitsupdates eine Mail bekommst sobald die Information über die Lücke im Core Team angekommen ist. Oft sind die jedoch auch nicht die ersten, die von der Lücke erfahren und weiter hilft Dir das bei Lücken in den zahlreichen Plugins (wie auch bei WP) leider nicht viel. SECDASH automatisiert diese Überwachung besser als ein Entwickler das kann, der eben zwischendurch noch entwickeln, essen und schlafen muss.

Das hat wenig damit zu tun, dass diese Dienstleister weniger professionell sind, sondern dass sie sich eben auf ihren Kernbereich konzentrieren wollen, denn damit verdienen sie ihr Geld.

Wenn wir Entwicklern mehrere Stunden die Woche ersparen, sind wir der Meinung dass wir einen großen Mehrwert in Agenturen schaffen. Die Agenturchefs der mehreren Hundert Agenturen die unsere Software in ihren Firmen implementiert haben sind da der gleichen Meinung. [/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]Keys: Lies bitte den Source weiter, dann siehst Du das der Key nur zur Zuordnung Deiner Seite auf einen User genutzt wird. Heißt in der Konsequenz gewinnt der "Angreifer" nichts vom erraten des Schlüssels, außer dass er irgendeine Website in ein Fremdes Dashboard schmuggeln kann. Abgesehen davon denke ich, dass Du die Größenordnung 3*10^38 etwas falsch einschätzt (kannst ja mal mit 1000 Requests die Sekunde ausrechnen wie lange Du im Mittel nach einem gültigen Key suchst, selbst wenn es 100.000de (nur noch 3*10^33 gäbe).[/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]Noch einmal zu den Daten: Dein Zitat bringt es auf den Punkt, aber um welche Daten geht es hier?
Es geht um Daten, die ich nutzen kann um Dir etwas zu verkaufen ODER Dich zu kontrollieren. Genau die Daten, die FB, Apple und Co von Dir sammeln und die sie danach benutzen um u.A. Werbung zu schalten. Metadaten darüber welche Versionen Du auf Deinen Websites einsetzt sind damit nur schlecht vergleichbar. Wenn das für Dich ein Grund ist SECDASH nicht zu nutzen, steht das Dir natürlich frei.[/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]Ich hoffe Du verzichtest dann aber auch konsequenter Weise auf den Einsatz von Google Analytics und Co, anonymisierst deine Serverlogs und setzt keine Cookies auf Deinen WP Seiten.

Viele Grüße
-- Khanh [/FONT]

Hi Brawler,

vielen Dank für Deine Meinung zum Agenturmarkt, wir haben in Gesprächen durchaus andere Erfahrungen gemacht, nämlich, dass viele Agenturen manuell nicht mehr in der Lage sind 100te oder 1000de Websites zu überwachen. Bei Magento und TYPO3 ist es natürlich so, dass Du bei Core Sicherheitsupdates eine Mail bekommst sobald die Information über die Lücke im Core Team angekommen ist. Oft sind die jedoch auch nicht die ersten, die von der Lücke erfahren und weiter hilft Dir das bei Lücken in den zahlreichen Plugins (wie auch bei WP) leider nicht viel. SECDASH automatisiert diese Überwachung besser als ein Entwickler das kann, der eben zwischendurch noch entwickeln, essen und schlafen muss.

Das hat wenig damit zu tun, dass diese Dienstleister weniger professionell sind, sondern dass sie sich eben auf ihren Kernbereich konzentrieren wollen, denn damit verdienen sie ihr Geld.

Keys: Ließ den Source mal weiter, dann siehst Du das der Key nur zur Zuordnung Deiner Seite auf einen User genutzt wird. Heißt in der Konsequenz gewinnt der "Angreifer" nichts vom erraten des Schlüssels, außer dass er irgendeine Website in ein Fremdes Dashboard schmuggeln kann. Abgesehen davon denke ich, dass Du die Größenordnung 3*10^38 etwas falsch einschätzt (kannst ja mal mit 1000 Requests die Sekunde ausrechnen wie lange Du im Mittel nach einem gültigen Key suchst, selbst wenn es 100.000de (nur noch 3*10^33 gäbe).

Noch einmal zu den Daten: Dein Zitat bringt es auf den Punkt, um welche Daten geht es hier? Es geht um Daten, die ich nutzen kann um Dir etwas zu verkaufen ODER Dich zu kontrollieren. Genau die Daten, die FB, Apple und Co von Dir sammeln und die sie danach benutzen um u.A. Werbung zu schalten. Metadaten darüber welche Versionen Du auf Deinen Websites einsetzt sind damit nur schlecht vergleichbar. Wenn das für Dich ein Grund ist SECDASH nicht zu nutzen, steht das Dir natürlich frei.

Ich hoffe Du verzichtest dann aber auch konsequenter Weise auf den Einsatz von Google Analytics und Co, anonymisierst deine Serverlogs und setzt keine Cookies auf Deinen WP Seiten ;-)

[FONT=Arial]Hi Tubedesigner,[/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]danke für Deine Antwort!

Darf ich fragen, was Du mit Datensammeltool genau meinst? Natürlich speichern wir die von Dir benutzten Softwareversionen, um Dich möglichst schnell auf Bedrohungen hinweisen zu können, aber darüber hinaus speichern wir keinerlei Daten.

Ich würde gerne besser verstehen was Deine Bedenken sind, was meinst Du würden wir noch sammeln?
[/FONT]
[FONT=Arial]

Lass mich das kurz aus meiner Perspektive schildern, wieso mich Deine "Daten" (über installierte Softwareversionen hinaus) nicht interessieren?[/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]1.) Sie passen nicht zu unserem Geschäftsmodell[/FONT]
[FONT=Arial]Wie verdienen wir Geld? Die meisten unserer Kunden sind Internetagenturen, die 20-150 Websites von Kunden warten. Der Aufwand so viele Seiten im Blick zu behalten, war der Auslöser für uns SECDASH zu entwickeln. Wenn wir anfangen würden, irgendwelche weiteren Daten auszulesen würden wir unsere Kunden vergraulen und uns selbst schaden.[/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]2.) Die Daten bringen uns nichts[/FONT]
[FONT=Arial]Die Daten haben keinen gesonderten Wert für uns. Mit SECDASH bauen wir eine Lösung, die sich an Unternehmen und Agenturen richtet, neben WP unterstützen wir im internen Betatest bereits Magento und TYPO3. Warum? Die meisten Kunden, die sehr viele Websites warten müssen, benutzen nicht nur ein CMS. Irgendwelche nutzerbezogenen Daten bringen uns hier nicht weiter.[/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]3.) Es wäre rechtlich und moralisch falsch[/FONT]
[FONT=Arial]Wir geben ganz klar an, keine Nutzerdaten auszulesen. Daran wollen und MÜSSEN wir uns halten. Wir sind und bleiben ein deutsches Unternehmen und müssen uns daher zum Glück an die strengen deutschen Datenschutzrichtlinien halten.

Viele Grüße
Khanh, Co-Founder & Geschäftsführer von SECDASH.com[/FONT]

[FONT=Arial]Hi Brawler, danke für Dein Feedback! [/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]Wir visieren mit dem Preis keine Endkonsumenten (wie z.B. Blogger) an, sondern Web Professionals wie z.B. Freelancer und Agenturen. Bei unseren tatsächlichen Kunden schafft unser Dienst so viel Kostenersparnis, dass die Preise mehr als gerechtfertigt sind. Wir können das sehr gut beurteilen weil wir sowohl Produktentwicklung, als auch Preismodell mit einigen Hundert Agenturen besprochen und diskutiert haben. [/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]Das Produkt „SECDASH“ ist nicht nur das Plugin, sondern alles was noch dahinter steht. Funktionen wie Uptime-Monitoring, Änderungshistorie, Sicherheitsbenachrichtigungen, Offline Benachrichtigungen sind ja alle im Dashboard verfügbar und schaffen bei unseren Zielkunden Wert für den wir auch etwas verlangen können. [/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]Wir haben einen kostenlosen Plan mit drei WordPress Installationen. Unserer Meinung nach sollte das selbst für ambitionierte Blogger reichen. [/FONT]
[FONT=Arial]

[/FONT]
[FONT=Arial]Ich kann Dein Besorgnis verstehen, wenn man sich länger mit Security und Datenschutz auseinandersetzt, wird man da sehr kritisch. Aus diesem Grund war es uns auch sehr wichtig, dass wir unser Plugin auf GitHub veröffentlichen, damit jeder selbst prüfen kann, was wir denn an Daten verschicken: Wir senden lediglich die installierten WordPress und Plugin Versionen so wie die Version Deines Webservers an unseren Server. WIR WERDEN NIE(!) kundenbezogene- oder nutzungsbezogene Daten (Traffic, Besucher, IPs, Cookies) aus Deinem WP auslesen![/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]Wieso machen wir das? Auf unserem Server pflegen wir kontinuierlich eine Datenbank mit Sicherheitslücken zu allen uns bekannten Produkten und Versionen, insgesamt können wir so tausende Bedrohungen umgehend zuordnen und Dich auch über neue Bedrohungen quasi in Echtzeit informieren. Wie wir diese Datenbank befüllen habe ich in einem vorigen Post bereits ausführlich erklärt.[/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]Was die Kritik zum Lizenzschlüssel angeht: Es gibt ~3*10^38 mögliche Schlüssel die Du daraus generieren kannst, viel Erfolg dabei einen zu treffen, der unserem Server bekannt ist :wink:[/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]Bei der Installation in einer VM musst Du darauf achten, dass die SITE_URL von außen erreichbar ist, sonst wirst Du bei der Initialisierung eine Fehlermeldung erhalten, dass unsere Engine Deine Seite nicht erreichen kann.[/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]Ich weiß, es ist schwer Vertrauen herzustellen, aber ich denke die Menschen hinter einer Idee zu zeigen ist ein wichtiger Schritt. Daher kannst du auf unserer Website (secdash.com) auch unsere privaten Mailadressen und Handynummern einsehen. Würden wir mit Deinen Daten etwas "Böses" vorhaben, würden wir uns hinter dem Unternehmen verstecken.

Viele Grüße!
[/FONT]

Hi Chilidog,

Vielen Dank! Du hast einen Bug aufgedeckt. Das dir eine andere Version angezeigt wird liegt daran wie die Beta Versionen des Plugins benannt wurden. Wir arbeiten daran das möglichst schnell zu fixen!

Bezüglich der Review: Wir nutzen beide unser eigenes Produkt auf unseren Blogs und sind davon aus eigener User-Erfahrung sehr überzeugt. Wir machen auch kein großes Geheimnis daraus, dass wir das beide sind (nutzen ja unseren realen Profile). Wenn wir nicht 5-Sterne-überzeugt von unserem eigenen Produkt wären, wie sollen wir dann Andere davon überzeugen? :-)

Falls dir ansonsten irgendwas auffällt, freuen wir uns auf dein Feedback!

[FONT=Arial]Hi Hille,[/FONT]
[FONT=Arial]
das sind gute Fragen die Du stellst, lass mich zu jeder etwas ausführlicher antworten:[/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]1.) Woher beziehen wir unsere Sicherheitslücken[/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]Das Spannende an SECDASH ist, dass wir neben "strukturierten" Quellen wie CVE, ExploitDB und Metasploit auch einen Crawler für "unstrukturierte" Quellen wie Mailingslists, Twitter und Foren entwickelt haben. Das erlaubt es uns aus einer vielzahl von Quellen sehr schnell auf neue Bedrohungen zu reagieren, ohne dass jemand die Lücke erst in einer der oben genannten Datenbanken veröffentlicht hat. Zum Beispiel haben wir erst heute unsere Nutzer bereits ~6 Minuten nach dem Erscheinen des WordPress 4.2.3 Sicherheitsreleases über dieses informiert.[/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]2.) Was kann der Nutzer mit unseren Informationen anfangen?[/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]Wir arbeiten sehr stark daran unsere Informationen "actionable", also sofort umsetzbar zu machen. Daher zeigen wir an, sofern es ein Update gibt, dass eine von uns identifizierte Lücke schließt. In Kürze werden wir auch einen weiteren Hinweis verschicken, sobald ein solches Update später veröffentlicht wird. In ca 40% der Fälle haben die Sicherheitsforscher "Responsible Disclosure" betrieben und es steht ein Update bereit, in den anderen Fällen weisen wir auf das Risiko hin und jeder kann selbst entscheiden, ob er das betroffenen Plugin deaktivieren möchte oder nicht.

Wenn du eine Sicherheitslücke hast und es kein passendes Update dazu gibt, kannst du es wie viele unserer Kunden machen: A) Selber schließen, B) Plugin mit einem anderen ersetzen oder C) Plugin deaktivieren. Dieses proaktive Handeln gibt dir einen großen Sicherheitsvorteil, verglichen zum "nur dasitzen und warten". [/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]3.) Was ist wenn das SECDASH Plugin eine Sicherheitslücke enthält?[/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]Unser Plugin ist im WP Repository und über Github (https://github.com/secdash/secdash_wp_plugin) verfügbar, Du kannst Dir daher gerne selbst ein Bild über die Sicherheit unseres Plugins machen. Bei der Entwicklung haben wir höchste Sorgfalt walten lassen und immer einen besonderen Wert auf Sicherheit gelegt, so dass wir uns sicher sind, dass unser Plugin keine Gefährdung für unsere Nutzer darstellt.[/FONT]
[FONT=Arial]
[/FONT]
[FONT=Arial]4.) Was hat Monitoring mit Security zu tun?[/FONT]

[FONT=Arial]Gute Frage! Unsere Engine fragt regelmäßig die installierten WP und Plugin Versionen auf allen SECDASH installationen ab, diesen Prozess nutzen wir auch, um unsere Nutzer zu warnen, sollten ihre Seiten einmal nicht erreichbar sein.

Viele Grüße[/FONT]
[FONT=Arial]SECDASH.com[/FONT]

Hallo WPDE Community,

ich bin Gründer von SECDASH, einem Security und Management Plugin für WordPress (und in Zukunft auch TYPO3, Magento, Joomla, Drupal & co).

Einmal installiert, identifiziert SECDASH sowohl WordPress Version als auch die Versionen aller installierten Plugins. Sobald eine Komponente einem Sicherheitsrisiko ausgesetzt oder die Website down ist benachrichtigen wir umgehend den User.

Anders als bei anderen Security Plugins benachrichtigen wir nicht erst wenn es ein Sicherheitsupdate gibt, sondern bereits wenn im Internet irgendwo eine Sicherheitslücke veröffentlicht wird.

Wieso ist das relevant? Entwickler haben nicht immer sofort Zeit ein Sicherheitsupdate zu entwickeln. Teilweise vergehen Wochen oder auch Monate bevor ein Sicherheitsupdate veröffentlicht wird. Das heißt für Website-Betreiber, dass ein großes Sicherheitsleck in der Website klafft ohne das man es weiß. SECDASH crawlt das Internet nach Sicherheitslücken und vergleicht diese in Real-Time mit allen Plugin-Versionen die installiert sind. Somit kann SECDASH sofort benachrichtigen, sobald nur das geringste Sicherheitsrisiko besteht.

SECDASH ist für drei WordPress Seiten für immer kostenlos und die Installation und Einrichtung dauert ca. 2 Min.
Ich lade die Community herzlich ein unser Plugin zu testen und freue mich immer auf Feedback / Kritik! Danke :-)

https://wordpress.org/plugins/secdash/