Logmein.com Hoe betrouwbaar is dat eigenlijk?

quote:

Op maandag 19 oktober 2009 13:53 schreef RiDo78 het volgende:

[..]

Oh die indruk kreeg ik anders niet van ze; ik bedoel je kunt via MSN prima hulp op afstand aanvragen, maar als die hulp niet eerst langs geweest is om te zorgen dat je netwerk op de juiste manier opengesteld is dan heb je er nog niets aan.

Dat kun je Microsoft natuurlijk niet kwalijk nemen. Die kunnen niet verantwoordelijk zijn voor een router die ze niet zelf hebben geleverd. Hark je een pc rechtstreeks aan 't modem (zoals je er ook vanuit mag gaan in dit soort situaties) dan heb je niets met poortjes open zetten te maken, maar maak je gebruik van de firewall in Windows die hier netjes om gaat vragen. Als je er een router tussen zet bouw je dus een netwerk op. Kan je dan van een andere leverancier verwachten dat die je netwerk beheert? lijkt me niet natuurlijk. Dan ben je daar zelf voor verantwoordelijk.

quote:

Helemaal mee eens, maar de prijsvoering van Log me in Rescue is niet echt op de consument gericht (voor een kleine 1000 euro per jaar).

Da's mij ook een raadsel ja. Ik snap ook neit helemaal dat dit product verkocht wordt, maar kennelijk zijn er toch mensen die hier hun geld aan uitgeven. Waarom is me een raadsel.

quote:

Ook daar ben ik het volledig met je eens; maar er zijn genoeg SOHO en andere kleine bedrijfjes die wel met een adsl of glaslijntje van een of ander goedkoop providertje zitten. En voor wie het financieel gezien ook niet mogelijk is om een lijn met hoge SLA en backup lijn neer te leggen.

Maar mijn intentie met die voorbeelden van Western Digital en de ADSL lijn was niet zozeer aantonen dat de servicelevels minder acceptabel zijn, maar zijn meer bedoeld als voorbeelden van services die je eigen veiligheid in gevaar brengen. Mionet kan op je schijfje gluren wat jij daar hebt opgeslagen en heeft misschien wel toegang tot de shell van die drive. En je provider komt zo je netwerk binnengewandeld. De overeenkomst met Log Me In is dat ook Log Me In dingen op je machines of netwerk kan doen die je niet kunt voorspellen. Zoals TS in 2007 al zei, wie zegt dat het geen trojaans paard is?

Tsja, ben 't wel helemaal ook met je eens hierin hoor, maar dan krijg je dus een beetje dat gevoel van dubbeltje op de eerste rang en dat werkt nu eenmaal niet. Was het maar zo'n feest.

Ik snap best dat mensen logmein gebruiken, ik snap alleen niet dat iemand het gebruikt om 'iemand anders' te helpen bij hulp op afstand.

Daarvoor is Teamviewer veel beter geschikt. Iemand gooit de .exe open, er verschijnt een pincode. Die gooi jij in de client en je hebt verbinding. Ideaal en veel minder instelwerk voor de 'server' als logmein. Verder dus ook geen account nodig.

quote:

Op maandag 19 oktober 2009 15:51 schreef kikoooooo het volgende:
Ik snap best dat mensen logmein gebruiken, ik snap alleen niet dat iemand het gebruikt om 'iemand anders' te helpen bij hulp op afstand.

Daarvoor is Teamviewer veel beter geschikt. Iemand gooit de .exe open, er verschijnt een pincode. Die gooi jij in de client en je hebt verbinding. Ideaal en veel minder instelwerk voor de 'server' als logmein. Verder dus ook geen account nodig.

dr zijn tal van tooltjes voor te vinden natuurlijk, maar da's niet helemaal waar het hier om draait

Ik heb me eens verdiept in het security model van logmein en ik ben niet overtuigd van de veiligheid. Ze beweren echte end-to-end encryption te hebben. Maar er is wel sprake van een gateway die de client en de host met elkaar verbindt. Encryptie en authenticatie gebeurt met SSL.

Echter, met "echte" SSL (strict volgens de SSL specs) is het *niet mogelijk* om met deze setup end-to-end encryptie te krijgen. Zo werkt SSL gewoon niet. Het verkeer moet dan op de gateway gedecodeerd worden, en weer opnieuw gecodeerd voor de andere kant. Met andere woorden: de data die van de client naar de host gaat en terug is dan dus gewoon te onderscheppen en te lezen, en zelfs te wijzigen door logmein.

Maar, beweert logmein, ze hebben "een nieuwe SSL implementatie verzonnen" waarmee er wel echt end-to-end encryptie mogelijk zou zijn. Exacte details hierover worden nergens gegeven, het blijft bij een vage beschrijving.

En daar zit het risico: als je andere implementaties gaat verzinnen voor dingen als SSL dan is het risico heel erg aanwezig dat er een ontwerpfoutje insluipt waardoor je de hele security ondermijnt. SSL is niet in 1 dag ontwikkeld en het is niet iets wat je zomaar even opnieuw kan verzinnen of aanpassen en dan dezelfde mate van security krijgen. Ik zeg niet dat het per se onveilig is - maar gegarandeerd veilig is het zeker niet. Ik zou er in ieder geval nooit op vertrouwen. Ik gebruik liever echte end-to-end encryptie en echte authenticatie, zonder tussenpersonen of derde partijen, zoals je bijv met X over SSH hebt. Nadeel daarvan is dat windows computers daar niet veel van snappen; maar als je echt bezorgd bent over security gebruik je natuurlijk in het geheel geen windows.

Gebruik anders teamviewer? Je hoeft hiervoor geen aparte portmappings te maken, het werkt gewoon gelijk

quote:

Op maandag 19 oktober 2009 20:50 schreef Rutger1983 het volgende:
Gebruik anders teamviewer? Je hoeft hiervoor geen aparte portmappings te maken, het werkt gewoon gelijk

Dat is met Logmein toch ook zo !?

quote:

Op woensdag 21 oktober 2009 15:14 schreef KroodjeBip het volgende:

[..]

Dat is met Logmein toch ook zo !?

Maar de vraag was toch niet naar alternatieven, maar hoe betrouwbaar het is?? Daar zijn we geloof ik al wel achter: niet betrouwbaar

quote:

Op woensdag 21 oktober 2009 15:14 schreef KroodjeBip het volgende:

[..]

Dat is met Logmein toch ook zo !?

Met teamviewer hoef je niet eerst een login op een server te maken als ik me niet vergis.

quote:

Op woensdag 21 oktober 2009 15:40 schreef kroegtijger het volgende:

[..]

Maar de vraag was toch niet naar alternatieven, maar hoe betrouwbaar het is?? Daar zijn we geloof ik al wel achter: niet betrouwbaar

Niet betrouwbaar? Waarom niet? Ze zijn nasdaq listed. Tevens heb je bij LogMeIn een point 2 point verbinding en gaat je data niet over servers van derden

Also check : https://secure.logmein.com/US/policies/privacy.aspx

quote:

Op donderdag 22 oktober 2009 10:08 schreef draaijer het volgende:

[..]

Niet betrouwbaar? Waarom niet? Ze zijn nasdaq listed. Tevens heb je bij LogMeIn een point 2 point verbinding en gaat je data niet over servers van derden

Also check : https://secure.logmein.com/US/policies/privacy.aspx

Lees nu eens het verhaaltje van Farenji; dan snap je misschien waarom het best wel eens niet veilig kan zijn. Als de mannen van Logmein kwaad willen, kunnen ze dat heel gemakkelijk!

Als je LogMeIn niet vertrouwd, vertrouw je ook geen open dns?
Dan ben je echt wel heel vaag

quote:

Op donderdag 22 oktober 2009 12:32 schreef ScarFace- het volgende:
Als je LogMeIn niet vertrouwd, vertrouw je ook geen open dns?
Dan ben je echt wel heel vaag

Dat is heel wat anders... Een DNS handelt je data-traffic niet af, maar zet alleen je fqdn om naar ip.
Kijk maar eens naar de traffic die op je dns gaat en je ziet dat deze t.o.v. de hoeveelheid data die daadwerkelijk verstuurd wordt nauwelijks iets voorstelt. Is ook logisch, anders zouden de DNS-servers van providers als een malle worden belast

quote:

Op donderdag 22 oktober 2009 12:51 schreef kroegtijger het volgende:

[..]

Dat is heel wat anders... Een DNS handelt je data-traffic niet af, maar zet alleen je fqdn om naar ip.
Kijk maar eens naar de traffic die op je dns gaat en je ziet dat deze t.o.v. de hoeveelheid data die daadwerkelijk verstuurd wordt nauwelijks iets voorstelt. Is ook logisch, anders zouden de DNS-servers van providers als een malle worden belast

De dns provider heeft wel gegevens over welke internetsites jij bezoekt.
En dat is dus ook wel degelijk privacy gevoelig.

Het is een complot

quote:

Op donderdag 22 oktober 2009 10:08 schreef draaijer het volgende:

[..]

Niet betrouwbaar? Waarom niet? Ze zijn nasdaq listed.

Oh ja, dat zegt natuurlijk alles.

quote:

Tevens heb je bij LogMeIn een point 2 point verbinding en gaat je data niet over servers van derden

Dat is dus maar ZEER de vraag. In de standaard SSL implementatie is dat helemaal niet mogelijk, en het is niet te controleren hoe de door logmein aangepaste implementatie werkt en of deze uberhaupt secure is. Je kan niet anders dan ze op hun mooie blauwe ogen vertrouwen.

quote:

Op donderdag 22 oktober 2009 13:17 schreef ScarFace- het volgende:

[..]

De dns provider heeft wel gegevens over welke internetsites jij bezoekt.
En dat is dus ook wel degelijk privacy gevoelig.

Ok, misschien is het handig om even te weten hoe een DNS-server nou eigenlijk werkt.
Als jij een domeinnaam in typt, bijvoorbeeld www.fok.nl dan zal je data-package niet naar je DNS-server worden gestuurd, maar er wordt vanuit je pc een request gedaan aan de DNS-server om het domeinnaam www.fok.nl om te zetten naar het juiste IP-adres wat daarbij hoort. Dit adres wordt vervolgens aan de packages geknoopt zodat deze op de juiste plek worden afgeleverd. De data op zich komt dus nooit bij de DNS-server. Uiteraard is de request dan wel bekend bij de provider, maar daar komen zulke hoeveelheden requests binnen per minuut dat het geen doen is om daar een search ook maar op los te laten. Normaal gesproken worden die requests niet eens gelogd omdat het er veel te veel zijn om daar wat mee te kunnen. Daarnaast is een request van de domeinnaam naar ip ook totaal geen interessante informatie; je kunt er namelijk nog steeds niets mee

quote:

Op donderdag 22 oktober 2009 12:51 schreef kroegtijger het volgende:

[..]

Dat is heel wat anders... Een DNS handelt je data-traffic niet af, maar zet alleen je fqdn om naar ip.
Kijk maar eens naar de traffic die op je dns gaat en je ziet dat deze t.o.v. de hoeveelheid data die daadwerkelijk verstuurd wordt nauwelijks iets voorstelt. Is ook logisch, anders zouden de DNS-servers van providers als een malle worden belast

Heb je ooit van dns poisoning gehoord? Dat is een enorm risico dat heel moeilijk te detecteren is. DNS is in de huidige implementatie niet zo secure. Nog niet zo lang geleden is er een essentiele ontwerpfout aan het licht gekomen die in een flink aantal gevallen dns poisoning mogelijk maakt. Maw: het aanpassen van dns gegevens, van afstand, zonder dat je de server hoeft te hacken. Gevolg is dan bijvoorbeeld dat je forum.fok.nl in je browser intikt, en dat je ook op een site terechtkomt die er precies zoals het echte fok uitziet maar dat je zonder het te weten op een of andere schimmige server in Kazachstan zit.

quote:

Op donderdag 22 oktober 2009 13:28 schreef Farenji het volgende:

[..]

Heb je ooit van dns poisoning gehoord? Dat is een enorm risico dat heel moeilijk te detecteren is. DNS is in de huidige implementatie niet zo secure. Nog niet zo lang geleden is er een essentiele ontwerpfout aan het licht gekomen die in een flink aantal gevallen dns poisoning mogelijk maakt. Maw: het aanpassen van dns gegevens, van afstand, zonder dat je de server hoeft te hacken. Gevolg is dan bijvoorbeeld dat je forum.fok.nl in je browser intikt, en dat je ook op een site terechtkomt die er precies zoals het echte fok uitziet maar dat je zonder het te weten op een of andere schimmige server in Kazachstan zit.

Maar dat heeft, zoals je zelf al aan geeft, helemaal niets met de DNS-server zelf te maken, maar met de connectie daarnaartoe. Da's natuurlijk een heel ander verhaal

quote:

Op donderdag 22 oktober 2009 13:22 schreef Farenji het volgende:

[..]

Oh ja, dat zegt natuurlijk alles.
[..]

Ik heb bij een Amerikaans bedrijf gewerkt en daar is liability echt ENORM hot en in de US kan je werkelijk voor de stomste zaken aangeklaagd worden.

Gezien het een beursgenoteerd bedrijf is en gezien ze enkele grote namen hebben als klanten, vertrouw ik het wel.

quote:

Op donderdag 22 oktober 2009 13:34 schreef draaijer het volgende:

[..]

Ik heb bij een Amerikaans bedrijf gewerkt en daar is liability echt ENORM hot en in de US kan je werkelijk voor de stomste zaken aangeklaagd worden.

Gezien het een beursgenoteerd bedrijf is en gezien ze enkele grote namen hebben als klanten, vertrouw ik het wel.

De kans is ook wel groot dat het te vertrouwen is hoor, maar het is niet onomstotelijk vast te stellen op basis van de door hun vrijgegeven informatie. Als je met echt serieus belangrijke data bezig bent zou ik er dan ook geen gebruik van willen maken. (denk bijvoorbeeld aan investeeringsbanken die een verbinding naar de beurs hebben. Daar gaan transacties van tientallen miljoenen voorbij. Je wilt dus absoluut niet dat daar mee gerommeld kan worden)

quote:

Op donderdag 22 oktober 2009 13:34 schreef draaijer het volgende:

[..]

Ik heb bij een Amerikaans bedrijf gewerkt en daar is liability echt ENORM hot en in de US kan je werkelijk voor de stomste zaken aangeklaagd worden.

Gezien het een beursgenoteerd bedrijf is en gezien ze enkele grote namen hebben als klanten, vertrouw ik het wel.

Ik vertrouw dit soort zaken alleen maar als ik met eigen ogen kan controleren dat het klopt. Met andere woorden: als ik de source code en de implementatie kan controleren. Dat kan met logmein niet; en beursnotering zegt me wat dat betreft echt geen ruk. Je moet wel HEEL ERG naief zijn als je denkt dat dat een garantie voor eerlijkheid is.

quote:

Op donderdag 22 oktober 2009 15:23 schreef Farenji het volgende:

[..]

Ik vertrouw dit soort zaken alleen maar als ik met eigen ogen kan controleren dat het klopt. Met andere woorden: als ik de source code en de implementatie kan controleren. Dat kan met logmein niet; en beursnotering zegt me wat dat betreft echt geen ruk. Je moet wel HEEL ERG naief zijn als je denkt dat dat een garantie voor eerlijkheid is.

Bij welk ander vergelijkbaar product kun je dan wel in de broncode kijken? Kan alleen bij opensource projecten...

quote:

Op donderdag 22 oktober 2009 15:25 schreef KhaZ het volgende:

[..]

Bij welk ander vergelijkbaar product kun je dan wel in de broncode kijken? Kan alleen bij opensource projecten...

Precies

Ik denk dat hij dan ook alleen maar en uitsluitend open source zal gebruiken

ik hoor er hele goeie dingen over..

ik zweer trouwens bij hamachi

quote:

Op donderdag 22 oktober 2009 13:27 schreef kroegtijger het volgende:

[..]

Ok, misschien is het handig om even te weten hoe een DNS-server nou eigenlijk werkt.
Als jij een domeinnaam in typt, bijvoorbeeld www.fok.nl dan zal je data-package niet naar je DNS-server worden gestuurd, maar er wordt vanuit je pc een request gedaan aan de DNS-server om het domeinnaam www.fok.nl om te zetten naar het juiste IP-adres wat daarbij hoort. Dit adres wordt vervolgens aan de packages geknoopt zodat deze op de juiste plek worden afgeleverd. De data op zich komt dus nooit bij de DNS-server. Uiteraard is de request dan wel bekend bij de provider, maar daar komen zulke hoeveelheden requests binnen per minuut dat het geen doen is om daar een search ook maar op los te laten. Normaal gesproken worden die requests niet eens gelogd omdat het er veel te veel zijn om daar wat mee te kunnen. Daarnaast is een request van de domeinnaam naar ip ook totaal geen interessante informatie; je kunt er namelijk nog steeds niets mee

Bij open dns loggen ze wel aangezien je ook je eigen stats kan zien etc.
Handig om te weten he hahahaha