• 24.08.2025, 23:38
  • Registrieren
  • Anmelden
  • Sie sind nicht angemeldet.

 

giantnine

Junior Member

Sicherheit im AC-Onlineshop

Montag, 27. Juli 2009, 10:57

Hallo,

Mir ist heute aufgefallen, dass es sicherheitstechnisch im Online-Shop einige Dinge gibt, die stark verbesserungswürdig sind (imho).

1) Kein SSL (bei einem Onlineshop in meinen Augen Pflicht)
2) Speicherung und Übertragung von Foren-Passwörtern im Klartext

Punkt 2 ist vielleicht erklärungsbedürftig: Das kann jeder an seinem Account ausprobieren, wenn er sich für das Aquadrops-System angemeldet hat. Geht in eurem Shop-Account auf "Kontodaten bearbeiten" und lasst euch den Seitenquelltext anzeigen. Dort stehen eure Foren-Anmeldedaten im Klartext im Quellcode!

Deshalb meine Bitten an die Betreiber:
  • SSL-Zertifikat einsetzen
  • Passwörter nicht vor-eintragen (schon gar nicht ohne SSL)
  • Die Passwörter nicht im Klartext auf dem Server speichern, sondern gehasht ablegen

r4p

Senior Member

Montag, 27. Juli 2009, 13:31

Eieiei, da hast du ja was ganz nettes gefunden.r4p

Ich war auch schon mal am meckern über die Sicherheit hier...

Naja, im prinzip ist das für mich ein Grund meine Daten hier zu löschen.

Nicht dass ich sie noch wo anders benutzen würde, trotzdem ist mir die potenzielle Gefähr eines Missbrauchs echt zu hoch.

Leute, dass könnt ihr besser.
Gentoo nutzer mit Herz und Seele: Gentoo Gentoo Wiki

"Bei der Eroberung des Weltraums sind zwei Probleme zu lösen: die Schwerkraft und der Papierkrieg. Mit der Schwerkraft wären wir fertig geworden." - Wernher von Braun

hurra

God

Montag, 27. Juli 2009, 14:27

Passwort nicht gehashed? Sowas hätte ich nicht erwartet und geht mal gar nicht.
Einmal Hashen und Salzen bitte 8)

amok

Senior Member

Montag, 27. Juli 2009, 21:38

Uff... tatsächlich mein Kennwort in "Klarschrift" im Quelltext.

Bitte ändern!

Stephan

Administrator

Montag, 27. Juli 2009, 21:51

Wir werden uns der Sache annehmen.

giantnine

Junior Member

Montag, 10. Mai 2010, 09:09

Wir werden uns der Sache annehmen.
Hier hat sich absolut nix getan, das Problem besteht weiterhin!

Max_Payne

God

Montag, 10. Mai 2010, 10:08

Wir werden uns der Sache annehmen.
Der Witz ist man hat es nicht nur einmal gesagt. Und so ein SSL-Zertifikat kostet ~50EUR und ist innerhalb weniger Stunden eingerichtet.




Gruß Max Payne

Lorby

Senior Member

Montag, 10. Mai 2010, 11:57

Ohja, bitte was daran ändern. Das macht nicht wirklich Spass so :D
i5 2500k | MSI-P67A-GD55 | HD6950 @ 6970 | Intel SSD 80GB G2 | Samsung F3 1TB & Samsung F4 2TB | 8GB G.Skill

elbarto`

God

Montag, 10. Mai 2010, 13:29

@ac

Wudel

God

Montag, 10. Mai 2010, 13:43

ist zwar insgesamt gesehen nicht so schön, aber trotzdem frage ich mich ob ihr alles immer schön bezahlt, sobald der paketmann was von ac bringt, bzw online überweist.
habt ihr angst dass sich da jemand was zuschickt auf eure kosten? mal abgesehen dass es auch immer irgendwie bezahlt werden muss und ihr habt hier doch hoffentlich nicht dieselben passwörter wie bei eurer bank ;)
Kyros > Radeon 5750 > Radi AMS 420 > aqualis > Laing DDC

giantnine

Junior Member

Montag, 10. Mai 2010, 14:49

ist zwar insgesamt gesehen nicht so schön, aber trotzdem frage ich mich ob ihr alles immer schön bezahlt, sobald der paketmann was von ac bringt, bzw online überweist.
habt ihr angst dass sich da jemand was zuschickt auf eure kosten? mal abgesehen dass es auch immer irgendwie bezahlt werden muss und ihr habt hier doch hoffentlich nicht dieselben passwörter wie bei eurer bank ;)
Das ist doch überhaupt nicht der Punkt, um den es hier geht.
Hier werden personenbezogene Daten ungesichert über ungesicherte Netzwerke (= Internet) gesendet. Dazu kommt das Speichern und Übertragen von Passwörtern im Klartext, was sich so auch nicht gehört. Das Argument "Benutz halt unterschiedliche Passwörter" zieht hier nicht.

Es geht hier um Vertrauen. Ich vertraue als Kunde dem Anbieter meine Daten an und darf eigentlich erwarten, dass die Daten auch entsprechend vertrauensvoll gehandhabt werden.
Ich möchte den Thread keinesfalls als Gemecker verstanden wissen. Dass es in der heutigen Zeit echt schwer ist, Web-Systeme wirklich sicher zu entwickeln, steht außer Frage. Aber wenn man so deutlich auf die Missstände hingewiesen wird, finde ich es traurig, dass hier so lange rein gar nichts passiert ist.

Mohrchen

Senior Member

Montag, 10. Mai 2010, 15:05

So, nu wieder für ein Jahr Ruhe. :D

es ist unmöglich etwas ganz sicher zu machen denn Dummköpfe sind einfach zu erfinderisch

Hummerman

God

Montag, 10. Mai 2010, 15:23

Mittlerweile ist es schon ein wenig peinlich. Aber ich denke AC wird sich jetzt der Sache annehmen. :thumbup:

Max_Payne

God

Montag, 10. Mai 2010, 18:44

ist zwar insgesamt gesehen nicht so schön, aber trotzdem frage ich mich ob ihr alles immer schön bezahlt, sobald der paketmann was von ac bringt, bzw online überweist.
habt ihr angst dass sich da jemand was zuschickt auf eure kosten? mal abgesehen dass es auch immer irgendwie bezahlt werden muss und ihr habt hier doch hoffentlich nicht dieselben passwörter wie bei eurer bank ;)
Sorry aber bei Datenschutz geht es nicht um was wäre wenn. Sondern es geht um prinzipielles umgehen mit Daten. Ich persönlich stehe mit einem Bein im Knast wenn ich Blödsinn mit Userdaten treibe. Wir haben z.B. den gesamten Verkehr von Foreun und Wikis per SSL verschlüsselt. Joa und das Zertifikat hat ~50EUR gekostet. ...



Gruß Max Payne

SeYeR

God

Montag, 10. Mai 2010, 22:07

Ist mir bisher noch gar nicht aufgefallen :thumbdown:

Meine Drops sind nicht mehr sicher?
Da muss dringendst Abhilfe geschafft werden :!: :!: :!: :!:

Wenn es soweit ist werden Wir eine Ankündigung machen. Zeitpläne oder ähnliches gibt es von uns nicht mehr, da einige nicht damit umgehen können wenn es doch mal länger dauert.

giantnine

Junior Member

Donnerstag, 13. Mai 2010, 09:33

So, nu wieder für ein Jahr Ruhe. :D
Ich befürchte ja Schlimmes... Warum werden Unternehmen eigentlich immer erst aktiv, wenn wirklich was passiert ist?

Edit: Ich habe mich grade mal im Shop umgesehen und prompt eine bekannte Cross-Site-Scripting-Lücke ausnutzen können. Da diese Lücke aber brandgefährlich ist, werde ich sie hier nicht veröffentlichen. Stephan, du bekommst gleich eine PM...

Dieser Beitrag wurde bereits 1 mal editiert, zuletzt von »giantnine« (13. Mai 2010, 09:50)

Ähnliche Themen