Passwortänderung nur mit Email Bestätigung

[Gast Koboldsrache]

Hallo Schulterglatzengemeinde,

aufgrund von Diversen Erfahrungen und Zutragungen habe ich diesen Thread eröffnet.

Ich habe mittlerweile schon mindestens 10 Warnungen von Spielern erhalten, dass es Spieler gibt, welche sich diverser Möglichkeiten ermächtigen um an fremde Accounts zu kommen.

Dabei werden abschließend die Passwörter geändert.

Natürlich gibt es den Button "Passwort vergessen". Allerdings sind hier auch viele Spieler vertreten welche diese Funktion nicht nutzen können.

Aus welchem Grund auch immer.

Ich denke es ist definitiv förderlich, dass bei einer Passwortänderung, eine Email- Bestätigung erzwungen wird. Somit währe wieder eine Schwachstelle und der Nährboden für solche "Spieler" entzogen!

Auch lege ich mich einmal fest und behaupte das eine Antwort wie:" Hat er pech gehabt wenn er zu doof ist" fehl am Platze ist!

Hab den Thread in den Bereich Vorschläge verschoben.

Bane3k6

[Gast soad]

Würde auf jedenfall Sinn machen sowas.

[Gast Schweigestill]

Das ist doch sonst überall Standard und somit eigentlich zwingend. Sollte meiner Meinung nach umgehend eingeführt werden.

[WhiteWolfe]

das sehe ich genau so, bitte sofort einführen :emo:

[STURM112]

Setzt voraus, dass die Email-Adresse nicht mehr geändert werden kann.

Dann macht das ganze einen Sinn.

Account-Hacking würde schlagartig uninteressant werden.

[Gast soad]

Setzt voraus, dass die Email-Adresse nicht mehr geändert werden kann.

Du kannst deine E-Mail Adresse sowieso nur ändern, wenn du die Änderung mit deiner alten E-Mail Adresse bestätigst!

[STURM112]

Gut, dass habe ich noch nicht probiert.

Sollte dies so sein, stimme ich den Vorschlag zu ...

[Lucario]

Bin auch dafür, macht es den Hackern sehr viel schwerer.

[schweinebagge]

Du kannst deine E-Mail Adresse sowieso nur ändern, wenn du die Änderung mit deiner alten E-Mail Adresse bestätigst!

Das stimmt nicht, würde auch keinen Sinn machen.

Stell dir doch mal vor, du hast das Passwort deines Email-Accounts vergessen. Deswegen hast du dir einen neuen Email-Account angelegt und willst diese Email-Adresse jetzt bei Schulterglatze eintragen. Nach der Änderung musst du die neue Email-Adresse aber noch bei deinem alten Account bestätigen. Wie willst du das jetzt bitte schön machen?

Die Bestätigung bei der alten Email-Adresse ist also nicht so praktisch.

Ich bin immer noch für meine bereits in der Beta vorgeschlagene "Email-Änderungsfrist". Das heißt, wenn man die Email-Adresse ändert, werden die Einstellungen sofort gespeichert, treten aber erst nach 3 Tagen in Kraft und können innerhalb der 3 Tage widerrufen werden.

Beispiel:

Ein Hacker klaut einen Account (wie auch immer). Er loggt sich ein und ändert Email-Adresse und Passwort, sodass sich das "Opfer" nicht mehr einloggen kann. Es kann aber immer noch sein Passwort zurücksetzen. Dadurch dass die Änderungen noch nicht in Kraft getreten sind, wird das neue Passwort an die alte Email-Adresse gesendet (andernfalls an die des Hackers). So kann der Hacker sich nicht mehr einloggen und das "Opfer" kann die Emal-Änderung widerrufen.

[Gast Measure]

Stimme auf jeden Fall zu!

Eine schwachstelle die umegehend beseitigt werden sollte.

Danke Kobold

[Gast soad]

Das stimmt nicht, würde auch keinen Sinn machen.

Stell dir doch mal vor, du hast das Passwort deines Email-Accounts vergessen. Deswegen hast du dir einen neuen Email-Account angelegt und willst diese Email-Adresse jetzt bei Schulterglatze eintragen. Nach der Änderung musst du die neue Email-Adresse aber noch bei deinem alten Account bestätigen. Wie willst du das jetzt bitte schön machen?

Die Bestätigung bei der alten Email-Adresse ist also nicht so praktisch.

So, ich hab nun mal eine Änderung der E-Mail Adresse getestet.

Nachdem ich auf "Genehmigen" geklickt habe, kommt ja folgende Meildung:

Eine Email mit einer Änderungsbestätigung wurde erfolgreich versendet.

Nun schreibst du ja, dass ich die Änderungsbestätigung an die Neue E-Mail Adresse erhalte, die ich soeben neu eingetippt habe und dann "Genehmigen" lassen hab.

Dem ist aber nicht so.

Ich muss definitiv mit meiner Alten E-Mail Adresse die Neue bestätigen, weil die Änderungsbestätigung an die ALTE E-Mail Adresse gesendet wird.

Sieht dann so aus.

Hallo --soad--,

du möchtest gerne deine Kontakt-Email ändern. Klicke auf den folgenden Link, um die Änderung abzuschließen:

http://www.schulterglatze.de/changeemail/8911e74368d53beec905cafb1b1cd

Solltest du deine Email-Adresse nicht ändern wollen, kannst du diese Email ignorieren, da der Änderungsantrag automatisch nach 7 Tagen verfällt.

Mit kameradschaftlichem Gruß

http://www.schulterglatze.de

[schweinebagge]

Oh, dann lag ich wohl falsch. Ich hatte es nicht nochmal extra ausprobiert. Früher gab es das nämlich auch nicht und ich hätte nicht gadacht, dass sowas eingeführt wurde.

[Headhunter242]

Natürlich gibt es den Button "Passwort vergessen". Allerdings sind hier auch viele Spieler vertreten welche diese Funktion nicht nutzen können.

Aus welchem Grund auch immer.

Was meinst Du damit ?

Was sollen das für Gründe sein ?

Von daher ist der ganze Vorschlag überflüssig.

Wenn jemand in der Lage ist mein Passwort zu ändern ist er ja bereits eingeloggt, kann also Unfug treiben wie er möchte.

Die Tatsache, daß ich mir evtl. ein neues PW zukommen lassen muß ist dann nur noch ein winzig kleines Ärgernis mehr - aber unbedeutend :

Mein Geld ist weg, meine Truppe aufgelöst, ...

Was nützt mir Dein Vorschlag in diesem Fall ?

Richtig : Nüscht

[Lucario]

Was du davon hast, sind deine absolvierten Ausbildungen und Lehrgänge in deinem Profil. Oder willst du nach einem Profilklau gleich von ganz vorne beginnen? Du willst diesem Dieb doch nicht dein Profil schenken, damit er es am Ende auch noch als Multi benutzt? :doh:

Deine Truppe bekommst du vielleicht sogar wieder zusammen, wenn du deinen alten Kameraden ein paar Nachrichten schreibst.

Ich bin weiterhin für diesen Vorschlag.

[Headhunter242]

Was du davon hast, sind deine absolvierten Ausbildungen und Lehrgänge in deinem Profil

Wie ???

Was soll auch damit passieren ? Die kann man nicht löschen !

[Lucario]

Das meine ich ja! Aber wenn der Dieb das Passwort ändern kann, ohne dass man dafür die E-mail-Bestätigung braucht, kommst du überhaupt nicht mehr in dein Profil. Und dann hast du überhaupt nichts mehr.

[Headhunter242]

Und dann hast du überhaupt nichts mehr.

Eben nicht!

Du drückst einfach auf "Probleme beim Anmelden?" und bekommst umgehend ein nigelnagelneues PW an Deine EMail-Adresse geschickt.

[Lucario]

Und wenn er die E-Mail-Adresse ändert?

[Headhunter242]

Das wurde weiter oben schon geklärt.

Und zwar genau da !

[Lucario]

Stimmt, hatte ich vergessen. :?:

Dann bringt das ganze wohl doch nichts.

[fronti]

mein acc. wurde gehackt und man wollte ihn löschen ging ja zum glück nicht.

was passierte eine top 10 truppe wure gelöscht und mein komplettes geld 40000 euro als kopfgeld vergeben.

habe das gemeldet aber die admins machen sich anscheind ein scheiß draus.

meine idee.3x mal pw falsch login sperren und per e-mail eine nachricht bekommen mit ein neuem pw

ich bin ja nicht der einzige dem es passiert ist.

bevor man gegen multis oder so vorgeht sollte man lieber das acc.hacken unterbinden

[Headhunter242]

3x mal pw falsch login sperren und per e-mail eine nachricht bekommen mit ein neuem pw

Schon besser. Aber ein neues PW muss man in dem Fall nicht unbedingt bekommen.

Ich würde sagen es reicht, wenn man eine bestimmte Zeit warten muss bis man es wieder versuchen darf.

Und je öfter man falsch lag desto länger muss man warten.

[Bodyguard2k]

Blöde Idee... :mom:

Wenn ich dich ärgern will, versuche ich mich den ganzen Tag in deinen Acc einzuloggen (ohne Erfolg natürlich)

Ergebniss: Du bist ständig geperrt und kommst selbst nicht rein!

[Headhunter242]

Quatsch - schon mal was von Cookies gehört ?

Ich melde mich überhaupt nicht erst ab und kann so jederzeit wieder rein.

Da kannst Du Dich gerne falsch einloggen bis Du schwarz wirst, aber mein Cookie wird davon nicht betroffen sein

[fronti]

hauptsache es wird mal reagiert.wie gesagt ich bin ja nicht der einzige dem das passiert ist. aus unserer truppe hat es auch 2 andere von uns erwischt.

bevor man leute wegen multi acc. oder sonstigen sachen degradiert sollte man erstmal sg sicherer machen.

weil ich finde das wir eine ganz böse sicherheitslücke haben .