Deaktivierung von SMTP-after-POP zum 02.09.2013

Am 02.09.2013 wird bei uns aus Sicherheitsgründen das veraltete SMTP-after-POP verfahren deaktiviert. Um Mails versenden zu können muß man am Mailserver anmelden. Dafür gibt es zwei Verfahren, das alte SMTP-after-POP, wo man sich durch Abruf des Postfach authorisiert und das sichere SMTP-Auth-Verfahren, wo man sich explizit mit der Mailadresse als Benutzername und dem dazugehörenden Passwort anmeldet. Da es bei SMTP-after-POP mittlerweile erhebliche Sicherheitsprobleme gibt (da keine eindeutige Authentifizierung erfolgt, ist ein E-Mail-Versand auch unbefugten Dritten möglich, wenn temporär dieselbe IP-Adresse genutzt wird – beispielsweise über ein öffentlich zugängliches oder nicht gesichertes Netz) und damit die Möglichkeit des Spamversandes besteht und in letzter Zeit auch aktiv ausgenutzt wurde, sind wir gezwungen, dieses Verfahren abzuschalten. Um Probleme beim Mailversand zu vermeiden, wurden Kunden, die dieses Verfahren noch nutzen, per Mail informiert, soweit wir das eindeutig erkennen konnten.

Die notwendigen Einstellungen für SMTP-Auth für die am meisten genutzten Mailprogramme haben wir auf den Screenshots noch mal abgebildet

Transportverschlüsselung (TLS) für Mailempfang und -versand

Wie wichtig Verschlüsselung in der Datenkommunikation ist, dürfte in den letzten Wochen jeder mitbekommen haben, deshalb gibt es seit kurzem eine wichtige Neuerung bei unseren Mailservern und zwar TLS (Transport Layer Security) auch für ausgehende Mails. Für eingehende Mails wurde das schon längere Zeit unterstützt. Wenn also der Server auf der Gegenseite diese Technologie unterstützt, findet die komplette Übertragung der Mails verschlüsselt statt, wenn dies nicht der Fall ist, wird auf die unverschlüsselte Variante umgeschaltet. Da es sich um eine serverseitige Technik handelt, muß an Mailprogrammen keine Änderung vorgenommen werden. Verschlüsselter Empfang und Versand zwischen Mailprogramm und Server ist ja bei uns schon lange möglich und sollte immer genutzt werden.

Überprüfung auf veraltete Joomla-Installationen

Seit gestern überprüfen wir unsere Server auf veraltete Joomla-Installationen und informieren alle betroffenen Kunden direkt per Mail mit Hinweisen auf entsprechende Updatemassnahmen. Grund hierfür sind die nach wie vor anhaltenden erfolgreichen Angriffe auf veraltete Joomlaversionen oder entsprechende Erweiterungen. Da vielen Kunden nicht wirklich bewusst ist, welche Version installiert ist oder auch jede Menge veralteter Testinstallationen (die in Vergessenheit geraten sind) in den Accounts liegen, erhoffen wir uns von diesem Service, die Anzahl angreifbarer Installationen kurzfristig entschieden zu verringern.

Neue Passwortrichtlinien für Postfächer

Bereits seit einiger Zeit stellen wir vermehrt Kompromittierungsversuche von E-Mail-Postfächern fest. Leider sind zahlreiche Angriffe erfolgreich, da viele Anwender unsichere Passwörter nutzen und durch immer bessere automatisierte Verfahren für unbefugte Dritte verhältnismäßig einfach zu ermitteln sind.

Um dem zunehmenden Missbrauch entgegen zu wirken, treten ab dem 24.06.2013 neue Mindestvoraussetzungen für Passwörter von E-Mail-Postfächern in Kraft. Dabei muss das Passwort  mindestens 8 Zeichen lang sein.

Darüber hinaus müssen mindestens zwei der folgenden Kriterien erfüllt sein:

- Das Passwort enthält Ziffern
- Das Passwort enthält Kleinbuchstaben
- Das Passwort enthält Großbuchstaben
- Das Passwort enthält Sonderzeichen

Erfüllt ein Passwort die Mindestvoraussetzungen nicht, ist das Speichern des Postfachs  nicht möglich und wird mit einer entsprechenden Fehlermeldung quittiert.

Die neuen Passwortstärken greifen sowohl beim Einrichten neuer als auch beim Bearbeiten bestehender E-Mail-Postfächer. Bei bestehenden Postfächern erfolgt eine Prüfung der Passwortrichtlinien jedoch ausschließlich dann, wenn Änderungen am Passwort erfolgen. So ist beispielsweise eine alleinige Änderung des Speicherplatzes möglich, ohne gleichzeitig das Passwort ändern zu müssen.

Aktualisierung der Webmail-Oberfläche am 03.04.2013

Am Mittwoch, den 03.04.2013, ab ca. 06:00 Uhr, erfolgt ein Update der Webmailsoftware horde auf die aktuellste Version (https://www.premium-webmail.de). horde steht dabei während des Updates für voraussichtlich eine Stunde nicht zur Verfügung.

Mit der Aktualisierung verfügt horde über eine vollständig neu gestaltete Benutzeroberfläche. Das Update erfolgt automatisch. Selbstverständlich bleiben alle E-Mails und weitere Daten wie Adressbücher unverändert erhalten.

Neue Webseite, neue Tarife, Managed Exchange

Die Arbeiten an unserer neuen Hostingseite sind (endlich) fast abgeschlossen. Mit dem Relaunch gibt es auch neue Tarife, über die Änderungen informieren wir natürlich gerne schon mal vorab:

  • aus den Erfahrungen mit den bisherigen Tarifen werden wir die Anzahl reduzieren und 4 normale Hostingtarife anbieten, mit denen sich alle normalen Anforderungen gut abdecken lassen je nach Bedarf (Privatkunden, Firmenseiten, Seiten mit hohem Speicherbedarf und Shophosting mit großen Ressourcen), individuelle Tarife sind wie gewohnt auf Anfrage möglich
  • es wird keine Inklusivdomains mehr geben, sondern jeder Kunde kann sich die gewünschten Domainendungen zum gewünschten Tarif dazubuchen (natürlich sind die Tarifgrundpreise dadurch viel günstiger)
  • Erweiterungen für Web- und Mailspeicherplatz sind zukünftig direkt über das Kundenlogin bestellbar
  • als neues Produkt bieten wir Managed Exchange an, Umfang und Preise für dieses Angebot stellen wir in einem eigenen Blogartikel vor

Kunden, die ab dem 01.11.2012 bestellt haben, können ohne Preisänderung für die erste Rechnungsperiode in einen der neuen Tarife wechseln, natürlich gibt es auch für alle anderen Bestandskunden eine problemlose Wechselmöglichkeit in die neuen Tarife.

 

 

Umstellung auf MySQL 5.5

Letzte Woche haben wir unsere Datenbankserver auf MySQL 5.5 aktualisiert, neben Fehlerbehebungen stehen damit auch eine Reihe neuer Funktionen zur Verfügung, z.B. verbesserte Performance und InnoDB als standardmässige Speicherengine. Eine Übersicht aller neuen Funktionen finden Sie hier (englisch).

Da auf unseren Servern noch viele Kunden MySQL 4 oder teilweise sogar noch 3 benutzen, empfehlen wir nochmals den Wechsel auf MySQL 5, da die älteren Versionen schon längere Zeit vom Hersteller nicht mehr supportet werden. Bei Fragen zur Umstellung hilft Ihnen unser Support natürlich jederzeit gerne weiter.

Massenhacks auf Joomlaseiten durch veralteten JCE-Editor

Aktuell finden reihenweise erfolgreiche Angriffe auf Joomlainstallationen mit veralteteten Versionen des JCE-Editors statt. Wenn man sich also wundert, wieso beim Aufruf der Webseite nur eine weiße Seite erscheint, sollte man als erstes schauen, ob im Wurzelverzeichnis der Installation eine Datei mit dem Namen sejeal.jpg liegt, das ist der eindeutige Hinweis auf diesen Hack. Bei einem erfolgreichen Angriff werden hunderte Dateien mit Schadcode nachgeladen und bestehende Dateien geändert, so dass die Bereinigung extrem aufwendig ist.

Deshalb nochmal der Hinweis, seine Installationen immer aktuell zu halten, eine sichere Version des Editors ist seit langem verfügbar. Alternativ ist natürlich die komplette Deinstallation von JCE empfehlenswert und der Einsatz des internen Editors von Joomla selbst.