Nieuprawniony dostęp do panelu administracyjnego forum

[Michał]

Wiatm

Niestety wygląda na to, że tej koparki nie damy rady usunąć własnymi siłami.

Chyba masz rację. Ostrzeżenie pojawiło się ponownie.

Pozdrawiam

[bartolomeo]

Po zamknięciu przeglądarki i wyczyszczeniu cache powinno być dobrze. Do czasu aż ponownie będzie źle

[Sholay]

Kochani,
Dostałem z aplikacji LastPass notyfikację, że loginy, hasła, adresy IP i adresy e-mail zostały przejęte i są dostępne w necie.
Więc proponowałbym aby administratorzy wysłali info do wszystkich o tym fakcie.
Miniumum to zmiana haseł oczywiście.

serdeczności
&

[bartolomeo]

Pisałem już, że pracujemy na przestarzałym silniku - niestety bez możliwości uaktualnienia czy nawet wgrania poprawek (osoby opisane jako administratorzy są jedynie moderatorami z rozszerzonymi uprawnieniami, żaden z nas nie ma uprawnień do zmiany konfiguracji forum czy też danych dostępowych do serwera). Jak znajdę stary wątek to podlinkuję, na wszelki wypadek przypomnę kluczowe zasady bezpieczeństwa, które należy stosować zawsze (nie tylko na naszym forum):

• hasło do forum powinno być unikalne, pod żadnym pozorem nie należy go stosować w żadnym innym systemie, warto je od czasu do czasu zmieniać,
• jeżeli tylko jest taka możliwość to unikalny powinien być także e-mail (nie jest to obecnie trudne do zrobienia),
• można rozważyć stosowanie VPN do ukrywania prawdziwego adresu IP.

Co do sugerowanego przez Sholay'a włamu/wycieku: nie neguję, że coś takiego miało miejsce, ale nie jestem w stanie tego potwierdzić lub temu zaprzeczyć. Ani ja ani pozostali "administratorzy". Jedyne co mogę zrobić to weryfikacja czy mój adres mailowy (używany na tym forum) nie pojawił się w dostępnych w sieci bazach pochodzących z włamów - sprawdziłem, nie ma go w takich bazach (;--have i been pwned? - jeżeli znasz lepszą bazę to proszę o podpowiedź).

I na koniec: sugestia zmiany hasła jest zawsze dobra.

EDIT:
Odnalazłem stary wątek, przeniosłem do niego nowe posty.

[jolinar]

Dlaczego forum nie ma dostępu przez HTTPS? Przecież certyfikaty SSL można wygenerować za darmo, to jest kilka minut roboty. Przypominam, że wszelkie dane lecące przez "goły" http mogą być z łatwością "przejrzane" - również hasła, wiadomości prywatne itd.

[bartolomeo]

Przeczytaj ten wątek a będziesz wiedział. W skrócie: nie mamy uprawnień aby to zrobić.