LoseTrader.de - Klammlose in Echtzeit kaufen und verkaufen - Lose kaufen & verkaufen in Echtzeit zu einem Kurs!

[DaxDony]

Also Verschlüsselung usw...

Die Kontodaten werden - anders als die Passwörter - nicht verschlüsselt abgespeichert.
Ich werde mir einige Gedanken zu dem Thema machen, und es dann nachbessern.

Die Schwierigkeit liegt vor allem daran, den Schlüssel so sicher abzuspeichern, dass ein Hacker da nicht dran kommt.

 

[MasterYoda]

Also wenn jetzt ein "böser" Hacker kommt, hat er direkt die Bankdaten deiner Kunden im Klartext vorliegen? Nicht dein Ernst oder?

MY

 

[DaxDony]

Also wenn jetzt ein "böser" Hacker kommt, hat er direkt die Bankdaten deiner Kunden im Klartext vorliegen? Nicht dein Ernst oder?

Wenn ein "böser" Hacker kommt, wird er auch den Schlüssel für die Entschlüsselung auslesen können und kommt an die Daten.

Eine Verschlüsselung kann ich sofort einbauen, jedoch muss ich mir genau überlegen wie man dies auch wirklich sicher gestaltet, das sollte doch in deinem Interesse sein?

Wirklich sicher ist es, wenn deine Bankdaten erst gar nicht in der Datenbank auftauchen, deshalb empfehle ich - ganz besonders dir - die Bankdaten nach einer ausgeführten Auszahlung einfach zu löschen. Dann tauchen deine Bankdaten erst gar nicht in der Datenbank auf.

 

[ice-breaker]

Hinterlegung eines kryptographischen Schlüssels

Fazit: mit einem Server unmöglich sicher zu machen, trotzdem ist es fahrlässig solche sensiblen Information so "zugänglich" zu speichern.

 

[DaxDony]

Hinterlegung eines kryptographischen Schlüssels

Fazit: mit einem Server unmöglich sicher zu machen, trotzdem ist es fahrlässig solche sensiblen Information so "zugänglich" zu speichern.

Ja, darauf wollte ich hinaus, schafft es ein Hacker auf das Dateisystem zuzugreifen, ist es vorbei mit der Verschlüsslung, weil die Daten entschlüsselbar sein müssen.
Das sicherste ist, wie schon gesagt, die Daten nach einer Auszahlung aus dem Profil zu löschen.

Nichts desto trotz ist das System nicht optimal, das gebe ich ehrlich zu - darum werde ich es sofort anpassen.

Edit:
Anders sieht es halt bei den Passwörtern aus, die werden gehasht - demnach könnte noch nicht einmal ich, der weiß wie genau dieses Hashing-Verfahren funktioniert die Passwörter wieder entschlüsseln.

 

[phips29]

Eine Frage habe ich noch:
Sieht man irgendwo wieviele Mio Lose Umsatz man gemacht hat, oder muss man da selber die Mios von den "ausgeführten Order" zusammenzählen?

 

[Die-Fackel]

Eine Frage habe ich noch:
Sieht man irgendwo wieviele Mio Lose Umsatz man gemacht hat, oder muss man da selber die Mios von den "ausgeführten Order" zusammenzählen?

Unten im Kontobereich gibt es eine Statistik.

 

[phips29]

Unten im Kontobereich gibt es eine Statistik.

Ok, danke

 

[Xaver_1]

Hast du schon mal an eine Refback funktion nachgedacht?

 

[lukas1212]

Übernimmst du auch bei einer Überweisung in die Schweiz die Gebühren?

 

[DaxDony]

Hast du schon mal an eine Refback funktion nachgedacht?

Der Vorschlag wurde schon gemacht - ich werde es mir auf jeden Fall überlegen!

Übernimmst du auch bei einer Überweisung in die Schweiz die Gebühren?

Bei einer SEPA-Überweisung (mit iBan und BIC) übernehme ich die Kontogebühren.

 

[jgry]

Die Kontodaten werden - anders als die Passwörter - nicht verschlüsselt abgespeichert.
Ich werde mir einige Gedanken zu dem Thema machen, und es dann nachbessern.

Die Schwierigkeit liegt vor allem daran, den Schlüssel so sicher abzuspeichern, dass ein Hacker da nicht dran kommt.

Gar nicht Speichern.
Und jetzt wo du dies auch noch erwähnst und somit jeden hier darauf Aufmerksam machst das die Daten unverschlüsselt auf dem Server liegen, solltest du drüber nachdenken mal ganz schnell diese Datenbankeinträge zu löschen.

Und das ganze Auszusetzen bis du eine bessere Lösung gefunden hast.

 

[DaxDony]

Gar nicht Speichern.

Und wie soll ich dann die Auszahlungen tätigen?

 

[jgry]

Und wie soll ich dann die Auszahlungen tätigen?

schön das du auf den zweiten wichtigeren Teil gar nicht eingehst.

Vorerstmal gar nicht? Bis dieses Problem gelöst ist?
Ich finde es schon Traurig, das du anscheinend mehr Wert auf Design der Seite gelegt hast, als auf die Sicherheit der Daten.

Ich für meinen Teil schicke dir jetzt zusätzlich zur folgenden Aufforderung noch ein Supportticket mit selben Inhalt:

Hiermit möchte ich die vollständige Löschung meines Accounts, inkl aller gespeicherten Daten beantragen. [...]

Da eine Account Löschen Funktion auf der Seite leider fehlt.

€: Vielen Dank an MY das du einfach mal Nachgefragt hast, ich sollte wirklich mehr Fragen stellen anstatt einfach mal davon auszugehen das Jemand der so eine Seite betreibt auch ein entsprechendes Verantwortungsbewusstsein hat.

 

[Bububoomt]

Panik mache?

Sich jetzt darüber aufregen, aber sich nicht vorher gedanken machen, dass Ihr Daten nicht mal per SSl übertragen habt (Oder täusch ich mich gerade?)

Wo werden Bankdaten verschlüsselt? Also ich kenne mehrere Schopsysteme und mir ist nicht bekannt, das die Bankdaten verschlüsselt gespeichert werden.

Habt ihr euch darüber mal gedanken gemacht?

 

[MrChicken]

Ich hätte noch einen Verbesserungsvorschlag:
Wäre es möglich bei den ausgeführten Ordern anzugeben wie viel € gesamt nachher rausgekommen sind?
Eine €-Summe die mir diese Order dann auch wirklich erbracht hat, wäre sehr schick.

 

[flxwa33]

Wenn die Paypal-Auszahlung kommen wird, dann werde ich ein aktiver Trader bei dir, auch wenn Paypal viel Gebühren kostet, aber man kann das Geld ja erstmal auf deiner Seite sammeln.

 

[DaxDony]

So, die Verschlüsselung ist für folgende Daten drin:

• Vorname
• Nachname
• Kontonummer (bzw. IBAN)
• Bankleitzahl (bzw. BIC)

Ich möchte nochmal darauf hinweisen, dass die Verschlüsselung nichts taugt, wenn der Webserver gehackt werden sollte.
Das liegt nicht an meinen bescheidenen Fähigkeiten, sondern an der Tatsache, dass der Schlüssel für die Entschlüsselung im PHP-Script bekannt sein muss, ansonsten lassen sich die Daten nicht anzeigen (auf der Profilseite).

Wer auf Nummer sicher gehen will, kann die Bankverbindung nach getätigter Auszahlung wieder aus der Datenbank löschen (Profilseite).

Ich hätte noch einen Verbesserungsvorschlag:
Wäre es möglich bei den ausgeführten Ordern anzugeben wie viel € gesamt nachher rausgekommen sind?
Eine €-Summe die mir diese Order dann auch wirklich erbracht hat, wäre sehr schick.

Sehr gute Idee, habe ich direkt eingebaut.

Hiermit möchte ich die vollständige Löschung meines Accounts, inkl aller gespeicherten Daten beantragen.

Sehr gerne. Die Behauptung, mir wäre das Design wichtiger als die Sicherheit der Benutzerdaten zeigt doch sehr schön, worum es dir wirklich geht.

 

[jgry]

Sehr gerne. Die Behauptung, mir wäre das Design wichtiger als die Sicherheit der Benutzerdaten zeigt doch sehr schön, worum es dir wirklich geht.

Glückwunsch, das du es jetzt geschafft hast schon mal die Datenbank sicher zu machen. Immerhin ist das der Richtige Weg.

Worum es mir wirklich geht, darum das meine Daten auf einer Seite die ich nutze etwas sicherer sind.
Und ich denke ich wäre nicht der einzige der sich Aufregt wenn er erfährt das seine Daten Unverschlüsselt in deiner Datenbank gelegen haben.

Ein Datenbank-Dump hätte gereicht und das Problem wäre wohl kaum noch eindämmbar gewesen.
Das so etwas schnell geht, sollte jedem in der Klammwelt bekannt sein.

Und noch meine Meinung zu deiner anfänglichen Argumentation:
Die Tatsache das du einen Sicherheitsmechanismus ablehnst, nur weil er ja in einem wesentlich schweren Fall nicht funktioniert stößt bei mir einfach auf kein Verständnis. Denn wenn du danach gehen würdest, dürftest du auch keine Passwörter verwenden, die könnten ja auch geknackt werden, also warum überhaupt nutzen, sind ja auch nicht sicher.

Ich glaube den meisten wäre es lieber, sie haben eine Trockene übersichtliche Tabelle vor sich, und dafür ein abgesichertes System, als das es schön aussieht und im Hintergrund so einiges im argen liegt.

Aber erkläre mir doch um welche Sache es mir wirklich gehen sollte?
Anscheinend siehst du da etwas Anderes als ich.

 

[danyi]

Hey,

ich habe mal 2 Sachen:

1. Als ich mich angemeldet habe, habe ich dies über einen Reflink getan. Leider kann mich mein Werber nicht in seiner Downline sehen. Ich kann aber auch nirgendwo sehen, ob oder wen ich als Werber habe. Könntest du mal bitte nachgucken?

2. Wenn ich mich einloggen will, meine Daten eingegeben habe und auf Login klicke, dann lädt er zwar die Seite neu, sagt das ich angemeldet bin, aber ich muss mich dann noch ein 2. Mal einloggen. Ist nicht immer so, aber doch relativ häufig.
Hast du vielleicht eine Idee woran das liege könnte?

Danke schon mal!

Gruß,
danyi