Kann der Admin PNs lesen?

[Argonaut]

Guten Morgen,

meine Frage ist nicht auf dieses Board bezogen, passt aber hoffentlich hier hin.

Ich bin auf einem Powered by phpBB 2.0.6 Board unterwegs und würde gerne wissen, ob der Admin des Boards Einblick in die PNs der User hat?

Danke.

[Doham]

wenn er sich die Datenbank ansieht müsste das IMHO gehen. AFAIK hab ich PM's gesehen, als ich mal einen SQL-Dump der Datenbank meines phpBB - Klassenforums angelegt hatte und diesen kontrolliert hab.

Irgendwo in der Datenbank werden PMs ja gespeichert...

[robotto7831a]

Hallo,

es gibt sogar eine Erweiterung für das phpbb Forum, mit dessen Hilfe Admins PN's lesen können.

Mir stellt sich nur die Frage, was haben die davon.

Frank

[DerMatze]

Original geschrieben von palvoelgyi

Mir stellt sich nur die Frage, was haben die davon.

Im Fall der Faelle: Beweise

... hab das auf einem anderen Board mal miterlebt. User 1 beschwerte sich in einem Thread, dass er von User 2 Droh-PMs bekaeme, User 2 sagt, dass das nicht stimme, Admin postete die PMs und bannte User 2.

[Bako]

Verschoben ins Webhosting-Forum, da hier allgemeine Frage zu Boardsoftware besser aufgehoben ist.

[just_me]

Einmal vom rein logischen Standpunkt betrachtet, sieht die Frage

Mir stellt sich nur die Frage, was haben die davon.

irgendwie drollig aus:

Die Aufgabe des Administrators ist es nun einmal - folgt man seiner sicherlich nicht zufällig gegebenen Berufsbezeichnung -, zu administrieren, also zu beaufsichtigen, zu kontrollieren und zu pflegen.

Dazu gehört der entsprechende Verantwortungsbereich, der durch rechtliche und technische Rahmenbedingungen definiert wird.

Letztlich ist es also pures Vertrauen, wenn der Admin seiner Pflicht zur Kontrolle nicht oder nur unvollständig nachkommt. (Gewisse Aufgaben werden aufgrund der Fülle verteilt - Beispiel: Forenmoderation -, aber auch dafür zeichnet der Admin in letzter Instanz verantwortlich.)

Es stellt sich also weniger die Frage, ob der Admin latent voyeuristische Tendenzen hat, wenn er solche Sachen macht, wie private messages (PN) zu lesen (besser wäre wohl angesichts der Fülle: stichprobenartig zu kontrollieren.); als vielmehr die Frage, warum er es nicht macht und oder machen sollte?!

Dass aber auch diese Aufgabe vertraulichen Charakter hat, beweist dieses schlechtestmögliche Beispiel:

... Admin postete die PMs ...

Persönliche Nachrichten sind juristisch vertraulichen Gesprächen gleichgesetzt. Die Veröffentlichung - auch auszugsweise - ohne Einverständnis aller beteiligten Parteien verletzt private Rechte, welche durch BGB, TKG, TDDSG und BDSG abgesichert sind. (Dies gilt auch dann, wenn die PN's strafrechtlich relevanten Inhalt beherbergen würden. Sollte dies der Fall sein, ist der Administrator berechtigt/verpflichtet, Anzeige bei den verantwortlichen Behörden zu erstatten. Er ist jedoch IN KEINEM FALL befugt, Teile und/oder vollständige PN's öffentlich zugänglich zu machen.)

Insbesondere als Bürger der EU wäre ich also zumindest rechtlich in der Lage, den Administrator respektive die entsprechenden Verantwortlichen nach einem solchen Vorfall auf Schadenersatz zu verklagen. (Und dies unbeachtet der Tatsache, ob es moralisch vertretbar wäre, die PN's zu "Beweiszwecken" zu veröffentlichen, oder eben nicht.)

[EvilNick]

Grundlegend kann der Admin alles sehen, wenn er Zugriff auf die Datenbank hat! PNs sind dabei kein Problem, diese werden in allen Board die ich kenne im Klartext gespeichert.

Der Admin sieht sogar euer Passwort, theoretisch verschlüsselt (meistens mit MD5). Dafür gibt es IMO keinen Weg das "einfach" zu entschlüsseln, aber mit BruteForce könnte er auch das entschlüsseln. Die alternative wäre er würde sämtliche Verschlüsselungen im Board deaktivieren, so das auch PWs direkt im Klartext gespeichert werden können.

Von daher, 100% sicher ist auf solchen Boards nichts... egal ob vBulletin, phpBB, wBB, Ikonboard, YaBB usw.

[HELLinG3R]

Original geschrieben von EvilNick

Der Admin sieht sogar euer Passwort, theoretisch verschlüsselt (meistens mit MD5). Dafür gibt es IMO keinen Weg das "einfach" zu entschlüsseln, aber mit BruteForce könnte er auch das entschlüsseln. Die alternative wäre er würde sämtliche Verschlüsselungen im Board deaktivieren, so das auch PWs direkt im Klartext gespeichert werden können.

warum so kompliziert? er kanns doch einfach zurücksetzen...

okay, das fällt dem user dann zwar auf (weil er sich nicht mehr einloggen kann) aber ich denke bestimmt 90% der Forumsuser würden es glauben, wenn ein admin sagt "gestern nacht hats die Datenbank zerhauen und es konnte nicht mehr alles korrekt wiederhergestellt werden"

[Guybrush Threepwood]

Original geschrieben von EvilNick

Der Admin sieht sogar euer Passwort, theoretisch verschlüsselt (meistens mit MD5).

Gehört hier zwar nicht so richtig rein, aber MD5 ist kein Verschlüsselungsalgorithmus. Es wird jedglich eine 32 Bit Pruefsumme erstellt, wodurch mit (hoher wahrscheinlich) z.B. geprüft werden kann ob 2 Dateien identisch sind. Es kann aber niemals von der MD5 Summe wieder auf die original Datei oder den String zurückgerechnet werden. Deshalb würde es (soweit ich das sehe) keinen Sinn machen einen MD5 Algorithmus auf Passwörter anzuwenden, da das Verfahren nicht eindeutig wäre.

Korrigiert mich wenn ich mich irre...

[Guybrush Threepwood]

doppel Post

[Nachtgeist]

Original geschrieben von Guybrush Threepwood

Deshalb würde es (soweit ich das sehe) keinen Sinn machen einen MD5 Algorithmus auf Passwörter anzuwenden, da das Verfahren nicht eindeutig wäre.

Das ist ja gerade der Clou an MD5 und aehnlichen Hashverfahren: Das Passwort kann auch mit grossem Rechenaufwand nciht (oder nur sehr schwer) zurueckberechnet werden.

Aber es kommt bei gleicher Eingabe immer das selbe raus. Du tippst also dein Passwort ein und das Board erstellt daraus die MD5-Summe. Diese wird dann in der DB abgelegt.

Wenn du dich jetzt wieder anmeldest, passiert das selbe wieder. Diesmal wird der erstellte Hashwert mit dem in der DB gespeicherten verglichen. Sind sie identisch, ist das Passwort korrekt.

Es koennte theoretisch passieren, dass bei verschiedenen Eingaben der selbe Hashwert rauskommt, aber das ist vernachlaessigbar selten. Bei SHA1 z.B. habe ich noch nie von jemanden gehoert, der zweimal das selbe bekommen haette ...

HTH

PS: der Wert hat 128 bits.

[Spike]

Hi,

zum phpBB2: Die PMs landen als Klartext in der Datenbank, und kann den Usern per ID zugeordnet werden. Es gibt sogar Modifications für die Admins damit man dies auch im Adminmenü automatisch hat.

Der Admin sieht immer alles

Ob er das Missbraucht oder nicht, liegt ja immer am Admins selber. Wer solche Daten unbegründet liest oder für seinen Vorteil nutzt, hat seinen Beruf verfehlt und sollte eigentlich keine Boards administrieren ... ich finde sowas unmoralisch.