b1gMail 7.5 - Vorschläge

Was die Webdisk angeht werde ich die Tage schauen was sich machen lässt, alles weitere im Webdisk Thread:

Thema

Webdisk

Damit wir die Webdisk auf einen neuen stand bringen können, müsste ich von euch wissen was wir alles erneuern müssten oder wo Ihr Probleme habt.

Was gerade so einfällt wären:

• /share/ Seite überarbeiten
• Bilder- und PDF Vorschau
• Hochladen von Daten vereinfachen (Auswahl der Upload Felder)
• ICONs auf Fontawesome anpassen
• ACP Konfiguration überarbeiten

Werde schauen das ich da Zeit finde um das ganze zu überarbeiten...

ManDal

21. Februar 2022 um 15:50

Um auch auf die Themen Datenschutz und Datensicherheit mal ein wenig einzugehen:

• Es sollte künftig ermöglicht werden, dass Daten nicht mehr in Klartext sondern verschlüsselt in der Datenbank abgelegt werden (wahlweise)
• Bei der Speichermethode (Dateisystem: Eine Datei pro Objekt) ist ebenfalls anzudenken, dass die Dateien verschlüsselt werden (können).

Ergänzung #1:

• DSGVO-kompatibles Captcha.

Weitere Vorschläge diesbezüglich?

Zitat von Sebijk

Wer denn?

Ansonsten das lässt sich wohl leicht umsetzen: https://www.a-coding-project.de/ratgeber/html/…b-notifications

Werd ich in der nächsten Veröffentlichung aufnehmen. Im aktuellen GitHub-Repository hab ich ein Favicon-Benachrichtigungscounter umgesetzt, das zeigt im Browser-Tab an, ob eine neue Nachricht eingetroffen ist.

Glaube bei SLM oder?

Weiter habe ich es schon beim Support System für die Admins drin wen ein Ticket ankommt.

Zitat von ManDal

Glaube bei SLM oder?

Weiter habe ich es schon beim Support System für die Admins drin wen ein Ticket ankommt.

Ich habe mir damals ein Plugin bauen lassen. Die Desktop-Benachrichtigung kann in den Einstellungen vom User aktiviert / deaktiviert werden.

Mein Vorschlag, wenn man mails via dopplklick öffnet, so würde ich mir ein Tab-System wünschen also geöffnete Mails als Tab anzeigen, ähnlich wie bei thunderbird, so kann man recht schnell die Mails nacheinander öffnen und hin und her switchen ohne das man erst wieder zurück muss. Meine Hochschule hatte damals auch so ein System in webmail, fande ich super

Thema Sicherheit, POP3/IMAP/SMTP Benutzerweise aktivierbar. Neue Benutzer sollte daher POP3/IMAP manuell aktivieren müssen. Aktivierung durch Gruppen ist oft nicht ausreichend um Fremdzugriffe durch diese Schnittstellen ausreichend zu schützen (web.de macht das auch so). Wer keine externen Programme nutzt, sollte daher nicht einem potentiellen Angriff ausgesetzt sein. Leider ist das auch in Martins App so, da es dort kein OTP gibt. Generell sollte neben der OTP App die es mal im Store gab eine integrierte Lösung geschrieben werden am besten optional auch SMS. Schutz der Konten ist das wichtigste für uns. Bei der aktuellen OTP app habe ich das Problem das viele die aktivieren ohne die überhaupt eingerichtet zu haben, da es keine Prüfroutine gibt. Dann kommen natürlich Anfragen zum entfernen, dort die Kunden zu Verifizieren die keine Andressdaten angegeben haben ist schwierig

Zitat von Sebijk

Meine aktualisierte Planungen für b1gMail 7.5:

Kernprodukt sollte die E-Mail sein....

Es wäre m.E. sinnvoll wenn man b1gMail, im Speziellen auch die Funktion E-Mail, unter Sicherheitsaspekten weiter entwickelt. Wenn man b1gMail mit Anbietern wie Proton oder Tuta vergleicht - die mittlerweile Millionen von Usern verzeichnen, fehlt uns etwas Entscheidendes, die Verschlüsselungsmöglichkeit. Dazu gibt es verschiedene Ansatzpunkte:

- Vollständige Integration von PGP für den Mailaustausch
- Daten verschlüsselt speichern, sowohl die Files als auch die Inhalte der Datenbank

Tuta fährt hier einen sehr interessanten Ansatz, nämlich auch Open Source.

Zumindest diskutabel, wie ich finde.

Zitat von Sebijk

• Memcached als veraltet makieren. Wenn nichts von der Community kommt, wird es ab 7.6 entfernt.

Die Caching option würde ich beibehalten und auf APC oder noch besser auf Redis setzen

Ganz wichtig: Ein Update der SabreDAV-Integration. Die aktuelle Version macht wirklich Probleme bei Terminen, wenn man das über verschiedenen Geräte hinweg synchronisiert und managed.

Ich hatte es schon mehrfach erwähnt: ich kann nicht programmieren. Wenn es aber jemand gibt der das mal in Angriff nehmen will, unterstütze ich wo ich kann.

1. Mit ist vor allem eine vollumfänglich 2FA wichtig ob nun über SMS oder Authenticator. Zudem hätte ich gern eine Logininfo also wenn sich jemand mit einem anderen Standort oder IP einloggt das der Kunde dann eine Nachricht bekommen also eigentlich so, wie es aktuell schon überall üblich ist

2. PGP Modul sofern möglich

3. Sicherung von Mails des Kunden über Admin z.b. für Postfachbeschlagnahmen

4. Löschen der Mails im Postfach ohne den Account zu löschen

5. Automatische Löschung von Accounts nach x Tagen und Mail an alternative E-Mail zum Hinweis über die Löschung ggf. Möglichkeit die Löschung zu verlängern

6. Bessere Integration des Premium Moduls, so dann man Paypal under google Play Abos abschließen kann die sich automatisch verlängern, Verlängerung über einen Klick etc.

7. IPBlock bei mehrfacher Falsch-Eingabe von Passwörter

8. Mail-Überwachung, IP logs von ausgewählten Accounts über einen gewissen Zeitraum in Daten speichern (Bei TKÜ)

Sebijk Wichtig wäre es, die Datenbankarchitektur bzw. die Archtitektur, wie Daten gespeichert werden in Angriff zu nehmen. Aktuell werden z.B. die E-Mails (bzw. die Verweise) für alle User in der Tabelle _mails gespeichert. Das kann größeren Systemen Probleme verursachen, von eventuellen Datenbank-Crashs bei Ausfällen ganz zu schweigen. Man kann dem Kunden in dieser Form auch schlecht ein eigenes Backup anbieten (könnte man z.B. optional, gegen Aufpreis).

Im alten Forum hatten wir mit patrick und informant schon mal darüber diskutiert. Welche Lösungen hier sinnvoll sind, darüber sollten wir sprechen. Eventuell pro User eine Tabelle / Datenbank oder welche Möglichkeiten auch immer. Vorschläge sind hier gerne willkommen.

Zitat von Sebijk

Das kann man super mit Fail2ban umsetzen. hchristo hat eine super Anleitung dazu geschrieben, wie es mit b1gMailServer geht: Anleitung: b1gmail Server (Pro) Fail2Ban - Up2Date: 16.05.2023

Geht natürlich auch mit b1gMail selbst, es müssen nur die fehlgeschlagenen Loginversuche in eine Textdatei geloggt werden.

die Idee kam mir, weil ich das selbe aktuell bei wordpress für den Admin verwendet nachdem der Wordpress Admin gehackt wurde. Ich hab da ein tool das schickt mir auch Nachrichten, manchmal sperre ich 5000 IP in zwei Stunden, verrückt. Ich sehe über welchen Benutzer die Hacker versuchen in den Admin zu kommen und halt der IP Block.

Was ich auch gut fände wäre eine "Funktion" für vertrauenswürdige IP oder Geräte, bei der der Benutzer festlegen kann welche Geräte vertrauenswürdig sind.