Comwave Shop, Änderung Passwort

Da wahrscheinlich viele, so wie ich auch, ihr Destiupdate von Comwave bezogen habe, möchte ich auf folgendes hinweisen:

Ich habe folgende Email von Comwave erhalten:

...
Zitat der Firmenmail entfernt, da laut Forenregeln Firmenmails, auch auszugsweise, nicht veröffentlicht werden dürfen.
SAXI
...

Folgende Email habe ich daraufhin an Comwave geschrieben:

Hallo,
Sie sollten ihre Kunden deutlich darauf hinweisen,. dass das Passwort sofort geändert werden sollte, bzw. Sie sollten ihre Kunden beim ersten Login dazu zwingen!

Schliesslich ist es ein unter Umständen sehr leicht, eine PLZ zur Email-Adresse zuzuordnen, insb. wenn die Email-Adresse wie in meinem Fall aus Vor- und Zuname besteht.... Zudem sollten Sie den Weg zur Änderung des Passworts auf ihrer Seite deutlicher darstellen, ich musste auch zuerst einige Zeit suchen.

Aus Security Sicht finde ich ein solches Vorgehen höchst bedenklich, schliesslich geht es hier um Kunden Accounts, über die bei Ihnen Ware bezogen werden kann. Ein Verfahren mit zufällig generiertem Passwort für jeden User individuell wäre absolut sinnvoll.

Zitat

Aus Security Sicht finde ich ein solches Vorgehen höchst bedenklich

..ich auch..., dachte erst es sei ein Spass, scheint aber wirklich so zu sein. Es geht auch anders und vor allem sicherer..., eigenartig ist nur, dass man sein Konto nirgens löschen kann...wäre noch sicherer...

Gruss und ständig mein Konto im Auge behaltend...

Die Methode von comwave ist in der Tat nicht ganz unkritisch.
Ein personalisierter Link in der Mail über Änderungen der
WebSite-Struktur wäre besser gewesen.
Wolf

@Wolfl

Das meinst du doch jetzt nicht ernst mit dem personalisiertem Link, oder

Weißt du, ich drücke da doch einfach auf jeden Link, wenn meine Bank mir schreibt:
Klicke hier und gebe dann deine PIN/TAN ein ....

Viel Grüße, und seine Netze auswerfend...

Ralf

Zitat

Original von RalfonLinux
@Wolfl
Das meinst du doch jetzt nicht ernst mit dem personalisiertem Link, oder

Weißt du, ich drücke da doch einfach auf jeden Link, wenn meine Bank mir schreibt:
Klicke hier und gebe dann deine PIN/TAN ein ....
Viel Grüße, und seine Netze auswerfend...
Ralf

Alles anzeigen

Doch, genau das meine ich.

So wie bei double/triple Opt-In.
Dann weiss die Webseite _von wem_ der Aufruf kommt.
Natürlich ist das keine 100% Methode, aber halbwegs OK.
Link als _Text_, z.B. www .comwave.de/re_register/43286dfsfjhsai244
und Hinweis auf Copy/Paste reicht.
Wolf
...danke für den freundlichen Hinweis auf Phishing.