[SECURITY] 1-Klick-Login

[M3Y3R]

Hallo,

in dem heute versendeten Newsletter gab es einen 1-Klick-Login-Link.
Sofern nun also jemand diese E-Mail abgreift (wie auch immer), kann sich dieser mittels dieses Links in den jeweiligen Klamm-Account einloggen und sämtliche Aktionen ausführen, wie das Guthaben in Lose tauschen oder auf ein fremdes Konto auszahlen lassen.

@Lukas:
Ich halte einen solchen Link für sehr sehr gefährlich! Bitte entferne ihn doch aus den von Klamm versendeten E-Mails und zeige ihn dafür lieber im Profil des Users an, sodass sich der User diesen entsprechend abspeichern kann...


Gruß
M3Y3R

 

[klamm]

Wenn jemand Deine Emails abgreifen kann, kann er sich auch ein neues Passwort dorthin schicken lassen.

Der Link ist nur 1x gültig.

 

[M3Y3R]

Wenn jemand Deine Emails abgreifen kann, kann er sich auch ein neues Passwort dorthin schicken lassen.

Ich wusste das diese Antwort kommt.
Wenn jemand meine E-Mails abgreifen kann und dann für mich ein neues Passwort anfordert, muss er diese E-Mail ebenfalls abgreifen. In deinen Log-Tabellen könnte man dies jedoch nachvollziehen, so hoffe ich zu mindest, und dann den Account sperren.

Wenn aber jemand den Newsletter abgreift und sich über den 1-Klick-Login einloggt, fällt das jedoch nicht direkt auf...