Passwort Zusendung Klartext

[herbert]

wenn ein Kunde sich im Onlineshop anmeldet, erhält er ja die Zugangsdaten auch mit seinem Passwort an seine angegebene mail Adresse.
Ist diese Zusendung in einem SSL Shop sicher ?
Da die Daten ja selbst vom Onlineshop generiert werden, sollte es doch keine Probleme geben.
Danke für eure Antwort
Herbert

Linkback: https://www.modified-shop.org/forum/index.php?topic=35868.0

[Alfred]

wenn ein Kunde sich im Onlineshop anmeldet, erhält er ja die Zugangsdaten auch mit seinem Passwort an seine angegebene mail Adresse.

Das ist nicht der Fall.
Er bekommt so etwas nur wenn er sein PW vergessen hat.

Gruß

[h-h-h]

Hallo Herbert,
eine interessante Sache sprichst du da an.
E-Mails mit Zugangsdaten, Passwörter, vertraulichen Daten und Firmeninterna sind ein kritisches Thema. Dies hängt damit zusammen, dass Mails generell unverschlüsselt sind, auch wenn die Übertragung teilweise verschlüsselt durchgeführt wird.

Das Problem sind Serveradministratoren, Hoster, Geheimdienste und große Firmen wie MS, G, A oder wie jetzt aktuell durch die Medien geht Yahoo, welche unsere Mails lesen und auswerten.
Auch im Netzwerk(z.B. öffentliche WLANs) lassen sich Mails mitschneiden, wobei sich hier einiges in den letzten Jahren getan hat.

Dieses Thema ist eher unbekannt und wird von der Mehrheit gerne ignoriert, da alternative Wege bisher nicht bei dem Endverbraucher angekommen sind und teilweise nicht so leicht einzurichten sind (PGP).

Auch brisant finde ich Links in Mails über die ich mich bei Diensten/Shops direkt einloggen kann, diese sollte entweder zeitlich begrenzt oder nur einmal aufrufbar sein.

Viele Grüße, h-h-h

[Bonsai]

Ich bin jedes mal entsetzt, wenn mir ein System ein Passwort per mail verschickt. Ich muss dann immer sofort das Passwort ändern .... bzw. wenn ich eine alternative finde lösche ich den Account sofort wieder. Wer mit Passworter per mail schickt hat offensichtlich das Thema Datenschutz nicht verstanden und ist nicht vertrauenswürdig.

[web28]

Bei 2.00 wird auch kein Passwort bei der Passwort Vergessen Funktion mehr gesendet.
Der Kunde wird nach Verifikation auf eine sichere Seite geleitet wo er sein Passwort neu setzen kann.

Gruss Web28

[Mike Randoo]

@web28
Prinzipiell könnte dann doch jeder, der beim Shop 2.0 einen solchen Passwort-vergessen-Link in der Mail abgreift, das Kennwort dieses Kunden zurücksetzen, oder? Zumindest, solange der Link gültig ist...

[herbert]

vielen Dank für die Antworten.
Ein schwieriges Thema - zugegebenermaßen...
Ich denke, dass die Mehrheit der Kunden mit der Zusendung des Passwortes per mail - auch mit SSL Verschlüsselung -  meinen, dass diese Daten dann von einem Unbefugten genutzt werden können, um auf Ihre Kosten einzukaufen.
Dies setzt aber wohl vorraus, dass der Kunde sein Postfach für ungeschützt hält (dafür ist jeder doch selbst verantwortlich und Anbieter wie T-Online z.B. werben auch mit Datensicherheit und zweitens: Wie sollte ein Unbefugter diese Daten effektiv nutzen können, wenn im Shop selbst keine sensiblen Daten wie PayPal oder Bankdaten vorliegen und somit eigentlich kein Mißbrauch zu befürchten ist !
Herbert

[Bonsai]

@herbert: Die Postadresse fällt unter sensible Daten ....
Des weiteren kann man dann Stammkunden mit erlaubtem Rechnungskauf abzocken ... man lässt einfach mal was an eine andere Lieferadresse schicken.

Es geht übrigens ganz einfach, eine noch so gut verschlüsselte email auszulesen. Man braucht dafür nur AutoIT und einen User der so doof ist sich die mit AutoIT erstellte exe zu installieren.
Mit AutoIT kann ich in 15 Minuten ein Programm schreiben, das einfach alle Fenster die im Fenstertitel "Passwort" enthalten ausliest und sämtliche Texte rauskopiert. Weitere 5 Minuten später mailt mir das Programm das ....

Es geht nicht um kompromittierte E-Mail Accounts, sondern um die Millionen Windoof Nutzer, die mit irgendwelcher Malware infiziert sind. Ich hatte schon Rechner die trotz aktivem Virenscanner völlig verseucht waren. Ich hatte 5 Mailwarelools benötigt um mehrere Hundert infizierte Dateien zu finden .... und bin sicher, nicht alles gefunden zu haben.

Passwörter im Klartext ist einfach EPIC FAIL.

[Herr_Bert]

@ Bonsai
wie machst du das denn wenn ein Kunde sein Passwort vergessen hat, bringst du ihm dann persönlich ein neues, oder schmeißt du den dann gleich raus  :

Herr_Bert

[hbauer]

also ich sehe keinen Unterschied zwischen passwort im klartext oder link-auf-password-ändern.html im klartext

Beides ist gleich unsicher wenn jemand zugriff auf die Mail im Transit oder Postfach hat.

Aber ich lasse mich gerne vom anderen überzeugen

[Bonsai]

Es ist ein gewaltiger Unterschied, weil man mit dem Link EINMALIG ein Passwort setzen kann und das kennt dann nur der Anwender. So fällt dem Anwender auf, wenn sein Passwort plötzlich nicht mehr geht.
Wenn er es im Klartext bekommt, kann jemand seinen Account mitbenutzen, ohne dass es auffällt.
Ein Keylogger ist wesentlich einfacher für Virenscanner zu erkennen, wie die Applikation die ich oben beschrieben hatte. Lesende Zugriffe auf den Tastaturpuffer sind immer verdächtig .... lesende Zugriffe auf sonstwas sind eher mal unverdächtig.

Bei Systemen die mir Passwörter im Klartext schicken bin ich sofort wieder weg! (Nachdem ich dem Betreiber eine sehr böse Mail geschrieben habe) 

Passwörter per Mail versenden ist übrigens bei einigen IT Firmen auf dem Planeten ein Kündigungsgrund (fristlos).

[hbauer]

@Bonasi, ok, als das einzige was ich jetzt sehe ist das der Anwender es mitbekommt wenn ein Link von einem Angreifer benutzt worden ist. Bei einem zugesandten Kennwort kann er das nicht erkennen.

Das ist ein Unterschied. Wir reden also von dem Zeitraum in dem ein Nutzer auf den Button Password vergessen klickt und er dann in seinem Postfach die Mail bekommt in der das Passwort oder der Link ist.

Wenn er sein Kennwort also sofort ändert reden wir von wenigen Minuten in denen ein Angreifer das ausnützen könnte.

Ich weiss nicht ob das in der Realität eine Rolle spielt

Aber es wäre wahrscheinlich gut auf diesen Prozess in der Seite "Passwort vergessen" expliziert hinuweisen

Gruß
Hagen

[Bonsai]

Wenn ein Angreifer Zugriff auf die Mail bekommt ...

Szenario Link:
Angreifer hat Zugriff, bis Anwender versucht sich anzumelden und feststellt, Passwort geht nicht mehr.
Die Kompromittierung betrifft genau EIN System.

Szenario Klartext:
Angreifer hat die nächsten 250 Jahre Zugriff, da der Otto Normalanwender meistens niemals das Passwort ändert.
Außerdem hat der Angreifer auch auf 125000 anderen Systemen, wie z.B. PayPal Zugriff, wo der Anwender das gleiche Passwort einsetzt.

Wie viele UNTERSCHIEDLICHE Passwörter hast du denn in Gebrauch?

Passwort im Klartext hat solche einen Rattenschwanz von anderen Problemen im Anhang, das kannst du gar nicht abschätzen!

z.B. Anwender nimmt bei Dir Rasenmäher als Passwort ..... und hatte sich mal ein Paket zu seiner Firma liefern lassen. In seiner Firma wird er gezwungen das Passwort Monatlich zu ändern .... und weil er sich keine 125 Passwörter merken kann, endet das im Passwort Rasenmäher01 (01 für Januar).
Jetzt kann der Angreifer einfach den Firmenmailaccount des Anwenders übernehmen und mal schnell eine Rundmail an alle im Adressbuch des Webmailers schicken.

Es hat einen Grund warum ein Administrator in den meisten Firmen dafür unterschreiben muss, niemals ein Passwort im Klartext elektronisch zu übermitteln. Du muss auch immer den DAU einplanen!

[Herr_Bert]

Tolle Diskussion und auch sehr interessant, aber ich weiß leider immer noch nicht wie es denn richtiger wäre!
Wie kann ich dem vergesslichen Kunden denn ein neues Passwort sicher zukommen lassen 

Herr_Bert

[Bonsai]

Wirklich sicher geht nicht wirklich, aber am sichersten ist das mit dem Link.