Web 2.0 braucht keine Passworte mehr
Montag, 30. März 2009, 17:33 Uhr | Autor: ich
Meine Sonntage sind nur für meinen Spaß reserviert und der ist u.a. – neue Seiten, mit alten Fehlern finden. Gestern fand ich eine (für mich) neue Seite, ca. ein Jahr online, aber schon ein Relaunsch hinter sich, vielleicht waren es auch mehrere, die Seite war mir gar nicht aufgefallen, da mich das Thema nicht sonderlich interessiert, ich kann ja auch nicht alles kennen.
Ich mich also dort registriert, ganz brav mit einem Fakenamen und einer Müll-E-Mail-Adresse. Dabei dann schon nach XSS geschaut, nix. Als erste Maßnahme, nach dem Login mal probieren was als Passwort akzeptiert wird (bei der Registrierung maulte es: “mindestes 6 Zeichen”). Ich vergebe also nur sechs Leerzeichen als neues Passwort… nix passiert, bzw. keine Fehlermeldung? Grübel?! Hat er’s gefressen oder nicht?! Abgemeldet, dann Login mit sechs Leerzeichen… Hajooo! Drin is er! Kann das sein? Nochmal abgemeldet, Cookies und Cache gelöscht, Browser neu gestartet. Nochmal… jo! Wieder drin. Also das Teil akzeptiert Leerzeichen als Passwort – schön, kann man sich leicht merken.
Wie wäre es mal ohne Passwort? Also wieder Passwort ändern, und diesmal lasse ich die Formularfelder leer… kein Gemaule, ok?! Abmelden, dann ohne Passwort, nur mit der E-Mail-Adresse, Login… Jupp! Wieder drin! Ich lach mich schlapp. Noch schöner, da brauch ich mir gar kein Passwort mehr merken.
Also, die Registrierung ist so dumm, da werden sechs Leerzeichen für Name und Passwort akzeptiert. Man muß nur eine E-Mail-Adresse angeben, um den Aktivierungslink zu bekommen. Und nach der Registrierung braucht man nur die E-Mail-Adresse um sich einloggen zu können, Passwort ändern ist nicht erforderlich – das ist neu, solch einen Bug habe ich noch nie gesehen.
Im Innern ist es auch sehr Bugsbunny, da hüpfen einem an vielen Stelle Fehler entgegen. Zum Teil einfach nur Usability-Müll, die den Dienst aber unbrauchbar machen. Man kann dort z.B. sein Profil erweitern, lässt ein neues Feld für eine Telefonnummer (per Ajax) einfügen, trägt seine Nummer ein, soweit so gut. Man darf aber nie nich auf die blöde Idee kommen, ein Feld anzulegen, welches man irgendwann wieder löschen möchte – die lassen sich nämlich nicht mehr löschen. :O)
Das interne Mitteilungs- und Kontakte-System ist auch nett. Nicht nur das man anderen Mitteilungen inkl. JavaScript und anderem HTML-Zeugs schicken kann, man kann auch einem anderen User einen Kontaktwunsch senden, der dann seinen kompletten Account unbrauchbar macht. Nur wenn er den Exploder benutzt, dann hat er evtl. noch eine Chance ohne Accountlöschung davon zu kommen. ;O)
Oh mein Gott. Und so etwas bekommt noch Geld von Investoren. Aber, das Geld ist ja nicht weg, es ist nur in anderen Taschen.
Wenn ich an die Seite denke, muß ich immer noch lachen. :O)
Thema: Sicherheit, StartDown | Kommentare geschlossen





