Gerade entdeckt: http://www.gambio-forum.de/threads/21794-Admin-als-Kunde....?p=178431&viewfull=1#post178431 Ist eigentlich ein super Feature, aber das tönt nach potentiellen Sicherheitslöchern! Kann das Gambio mal erläutern, ob/warum das sicher ist? Sicherer fände ich, wenn im Admin Bereich (etwa bei den Kunden) ein Link wäre, wo ich mich als dieser Kunde einlogen könnte. Das wäre wohl manchmal auch bequemer, da man die kundenadresse manchmal eh dort nachschlagen würde, denke ich. Ist so ein Login-Verhalten verbreitet? hab sowas noch nie gehört. Klar, das Adminpasswort sollte sicher, und somit hoffentlich einmalig sein. Aber falls nicht, wird ein Kunde unter Umständen zufällig zum Admin. Kann mir auch vorstellen, dass darüber das anti- bruteforce login system umgangen werden könnte: Sobald man ein paar Kundenadressen weiss (erst selbst anlegen), kann man mit denen reihum nach dem admin pw suchen. Der "Feature-Request" wäre also erstmal eine Erklärung und ev. ein Verlegen der Funktion in die Seiten der Benutzerverwaltung.
Naja, man hat halt 2 Passwörter je Account die dich reinlassen. Wenn einer dein Admin PW hat, is er eh an allen Daten dran, spielt es da noch ne Rolle ob er das auch bei Kunden als PW nutzen kann?
Das läuft doch aufs gleiche raus. Hat man das Admin PW, kann man sich halt in dem Bereich als Kunde einloggen statt mit der Mail. Ich glaub du hast da etwas falsch verstanden. Wenn man sich mit dem Admin-PW und einer Kundenmail einloggt, bekommt das Konto keinerlei extra Rechte. Du bist dann 1:1 so eingeloggt wie der Kunde wenn er sein eigenes PW nehmen würde.
Ah ja, das war ein dummer Denkfehler. Der Kunde merkt nicht, dass er das gleiche PW wie der Admin hat. Danke. Was bleibt ist die Vermutung, dass ich mit vielen Kundenkonten brute force testen kann, ob ein PW das des Admin ist. Was sagt GAMBIO dazu? Auch fände ich es von der Usability nett, wenn man im Admin beim Kundennamen gleich einen Link hätte, um sich (in einem neuen anonymen Fenster?) als dieser Kunde einzuloggen.
Kannst ja mal bei Feature Wünschen eintragen. Gambio wird nach dem refactoring des Shop-Core sicher dann auch bald den Admin Bereich in Angriff nehmen.
Das besorgt mich auch etwas. Das Admin-Passwort kann man mit genug Zeit durch Ausprobieren herausfinden, wenn man da ein passendes Script auf den Shop ansetzt. Wir haben als Admin-Emailadresse extra eine Shopdomain-fremde Emailadresse, um die Sicherheit zu erhöhen: Selbst wenn per Brute Force das Admin Passwort durch Ausprobieren erraten wird, kommt der Hacker nicht rein (und erfährt nicht einmal, dass er das richtige Passwort "erraten" hat, weil er ja die passende Admin-Emailadresse kennen muss. Dachte ich immer. Aber das ist wohl hinfällig, er muss ja nur ein eigenes Kundenkonto erstellen und kann mit seiner eigenen Emailadresse arbeiten. Ja, ich weiß, ein theoretisches und unwahrscheinliches Angriffsszenario und man müsste es schon gezielt auf den Gambio Shop absehen und viel Zeit mitbringen, aber ich denke, sirtets grundsätzlicher Einwand ist berechtigt, zumindest wenn man es sich bequem macht und Passwörter mit einer Länge unter den empfohlenen 10 Zeichen hat und Wörterbuch-Wörter und keine Sonderzeichen verwendet... Ich fänd es auch gut, wenn man diese Kunden-Login-Funktion in der Shop-Konfiguration abstellen könnte.
Ist bestimmt schon 3 Jahre her da ist mir folgendes passiert. Ich wollte in einem Gambio Shop einkaufen und als ich mich dort eingeloggt habe war ich plötzlich im Admin. Da habe ich nicht schlecht geguckt und war aber gleichzeitig auch sehr erschrocken. Wie das passieren konnte ist mir bis heute schleierhaft.
Hallo Lena, Deine Sorge ist eigentlich unbegründet. Du kannst Dich mit der Mail-Adresse von Kunde Mustermann und dem Admin Passwort als Kunde Mustermann im Shop anmelden Kunde Mustermann erhält dadurch aber keine Admin-Rechte. Du als Admin hast lediglich die Möglichkeit für Mustermann eine Bestellung im Shop anzulegen, oder eine Lieferadresse zu ändern, so wie der Kunde das auch könnte. Mehr nicht.
"Keine Sorge" stimmt nicht ganz glaube ich. Wenn ich mit meinem Konto das admin-pw erraten will, und beim raten reinkomme in mein Konto, weiss ich dass ich das Admin PW hab. Jetzt brauche ich nur noch den Admin Namen. DAS ist die Sorge, und begründet ist sie, meine ich. Denn auch wenn ein neues Konto nach (wie vielen? [EDIT: 3 Versuche. Scheinbar wird dann das Konto nur für einige Sekunden gesperrt...]) Versuchen blockiert wird, kann ich per script beliebig viele neue anlegen. GAMBIO, kannst du mal was fundiertes dazu sagen?
Das Risiko steigt und sinkt mit der Qualität des eigenen Adminpassworts. "12345", "asdf" und "schatz" sind sicherlich Sicherheitsrisiken, das wären diese aber auch wenn es das Feature nicht gäbe, bei vielen Shops entspricht die Admin Mailadresse der im Impressum. Wenn das eigene Passwort gut gewählt ist sieht die Welt schon ganz anders aus, sich dann einen Zugang durch beständiges ausprobieren zu "Bruteforcen" ist dann eine grosse Herausforderung. Ich erhebe das Thema Montag bei uns intern aber auch mal zur Diskussion.
Hallo, die Einschränkung der Login-Versuche ist an die IP, nicht das Konto geknüpft. Maßgeblich für die Sicherheit ist die Stärke des Passworts. Allein bei der Verwendung von Zahlen, Klein- und Großbuchstaben hat man bei 8 Zeichen bereits 218.340.105.584.896 mögliche Kombinationen. Wenn man auch noch Sonderzeichen hat, erhöht sich die Sicherheit weiter. Da der Login über das Web läuft ist allein schon hier die größte Hürde für einen Brute-Force-Angriff, da man pro Sekunde nur eine Handvoll Versuche schafft. Wer also ein sehr langes Passwort mit vielen unterschiedlichen Zeichen nutzt, wird nicht Gefahr laufen, dass es erraten wird.
Ich denke die Gefahr sich einen Virus oder Trojaner auf den PC zu hohlen, der die Passwörter und Zugangsdaten ausspioniert, ist für die meisten Shop-Betreiber viel größer. Wenn man sich mal so ansieht wie viele User gar kein oder ein veraltetes Virenprogramm nutzen.... Und ein Passwort (egal wie sicher es ist) wird noch sicherer, wenn es alle paar Wochen erneuert wird Wer dann noch, wie Lena weiter oben geschrieben hat, eine Mailadresse nimmt, die nicht im Impressum steht, nicht info@meinshop ist, oder meinShop@web.de, oder meinName@... sorgt für zusätzliche Sicherheit, denn die muss der Angreifer ja auch erstmal heraus finden.
Den Teil möchte ich nochmal gern aufgreifen. Ganz einfach kann man sichere Passwörter bekommen, wenn man sich einen Merksatz bildet und die Anfangsbuchstaben verwendet. Satzzeichen mitten im Satz, ein durch 1 etc ersetzt und schon hat man ein sicheres Passwort das man sich auch leicht merken kann. Beispiel: "Ich will ein sicheres, einfaches Passwort für meinen Shop." wird zu Iw1s,ePfmS 10 Zeichen, Sonderzeichen, Zahl, Groß- und Kleinbuchstaben und einfach zu merken Für andere Seiten kann man in dem Beispiel auch noch "meinen Shop" durch den Namen der anderen Seite ersetzen und schon hat man einzigartige Passwörter für jede Seite.
UND man sollte auf jeder Seite ein anderes PW nutzen, was mit einem Merksatz indem z.b. der Seitenname vorkommt rel. einfach zu machen ist.
man ist das simpel. Und ich versuche immer irgendwelche Phantasie-Wörter zu erfinden und mit Zahlen und Sonderzeichen zu unterbrechen.