symlink.ch
Wissen Vernetzt - deutsche News für die Welt
 
symlink.ch
FAQ
Mission
Über uns
Richtlinien

Moderation
Einstellungen
Story einsenden

Suchen & Index
Ruhmeshalle
Statistiken
Umfragen

Redaktion
Themen
Partner
Planet

XML | RDF | RSS
PDA | WAP | IRC
Symbar für Opera
Symbar für Mozilla

Freunde
Benutzergruppen
LUG Switzerland
LUG Vorarlberg
LUGen in DE
SIUG
CCCZH
Organisationen
Wilhelm Tux
FSF Europe
Events
LinuxDay Dornbirn
BBA Schweiz
CoSin in Bremgarten AG
VCFe in München
Menschen
maol
Flupp
Ventilator
dawn
gumbo
krümelmonster
XTaran
maradong
tuxedo

 
Kreditkartendaten unverschlüsselt durchs Netz
Veröffentlicht durch XTaran am Donnerstag 03. Maerz 2005, 10:42
Aus der Sicherheitsbewußte-Anbieter Abteilung
Security Ein Anonymer Feigling schreibt uns: "Gerade wollte ich mein Wochenende planen und Tickets unter www.billett-service.ch (ein Zuger Ticket-Verticker) kaufen, da blieb mir doch vor Schrecken fast das Herz stehen: Es gibt immer noch Kaufportale, welche die Eingabe von Kreditkartendaten über eine unverschlüsselte Verbindung verlangen. Dies, ohne den Kunden auf diese Gefahr hinzuweisen (um dies nachzuvollziehen, müsst ihr euch halt rasch durchangeln). Ich hab jetzt mal den Betreiber der Seite über den Missstand informiert."

Das scheint Auswirkungen gehabt zu haben: Das hochpoppende Pop-Up bringt einen Tomcat 500er Server-Fehler. Und wenn ich auf eine der angebotenen Veranstaltungen klicke, bekomme ich einen Tomcat 404er: "The requested resource (/jsp/main/user/hf_withoutPlaceOrder_ur.jsp;jsessionid=...) is not available." Da ist wohl grade jemand am werkeln...

Abschließend fragt sich der Anonyme Feigling: "Ist dies ein Einzelfall, oder trifft man das heute noch des öfteren an?"

FAQ zum Release von Debian Sarge | Druckausgabe | Neue Linux Kernel Release Nummerierung?  >

 

 
symlink.ch Login
Login:

Passwort:

extrahierte Links
  • www.billett-service.ch
  • informiert
  • Das hochpoppende Pop-Up
  • Mehr zu Security
  • Auch von XTaran
  • Diese Diskussion wurde archiviert. Es können keine neuen Kommentare abgegeben werden.
    pr0n industrie fortschrittlich (Score:0)
    Von Anonymer Feigling am Thursday 03. March 2005, 11:19 MEW (#1)
    habe noch nie eine Seite ohne "SSL over HTTP" gesehen.
    Der Disclaimer (Score:2)
    Von creative (stefan at tlmedia punkt ch punkt nospam) am Thursday 03. March 2005, 11:20 MEW (#2)
    (User #1607 Info)
    ist auch ganz witzig:klick
    so à la: "Wir haften NIE und für NICHTS"
    In der agb ist vor allem Punkt 5 recht amüsant.
    PS: Am werkeln? Bei mir geht die Page...
    sichtbar unsicher (Score:1)
    Von vade am Thursday 03. March 2005, 14:10 MEW (#3)
    (User #1577 Info)
    erster schritt ist sicher ssl, wenn dann aber die kk daten auf einem ungesicherten server gelagert werden ist das IMHO viel schlimmer. kann doch dann viel mehr schaden angerichtet werden.
    finde das jetztige kk system eh viel zu unsicher. kartennummer und verfalldatum (manchmal rueckseitennummer) und man kann bestellen...
    Re: sichtbar unsicher (Score:0)
    Von Anonymer Feigling am Thursday 03. March 2005, 14:35 MEW (#4)
    Es ist doch eigentlich egal ob die Daten unverschlüsselt übers Netz gehen. Abbuchungen für die es keinen Beleg des Verkäufers gibt werden rückerstattet. Und ob die Webseite vertrauenswürdig ist kann SSL doch gar nicht feststellen.
    Re: sichtbar unsicher (Score:3, Tiefsinnig)
    Von P2501 am Thursday 03. March 2005, 14:41 MEW (#7)
    (User #31 Info) http://www.p2501.ch/
    An sich könnte SSL das schon. Es funktioniert aber nur, wenn die Zertifizierungsstelle für die SSL-Zertifikate vertrauenswürdig ist. Die meisten Zertifikate sind aber von VeriSign signiert, und gerade die haben einen ganz miesen Ruf.

    --
    Linux ist eine Turboprop. HURD ist ein Düsenjetprototyp, der seinen Heimatflughafen nie verlassen hat.

    Re: sichtbar unsicher (Score:1)
    Von vade am Thursday 03. March 2005, 14:54 MEW (#9)
    (User #1577 Info)
    dafuer muesste die zertifizierungstelle dann aber ein sicherheitscheck bei der firma machen. ssl garantiert ja nicht, dass die schose auf ner sicheren box gespeichert wird.
    Re: sichtbar unsicher (Score:2)
    Von P2501 am Thursday 03. March 2005, 17:27 MEW (#11)
    (User #31 Info) http://www.p2501.ch/
    Hmmm... Da reden wir wohl aneinander vorbei. Was ich meinte ist: SSL garantiert theoretisch, dass der Server, mit dem man verbunden ist, auch wirklich der ist, der er vorgibt zu sein (also kein Phishing-Server oder ähnliches). Ob auf dem Server sorgfältig mit den Daten umgegangen wird, ist natürlich was anderes.

    --
    Linux ist eine Turboprop. HURD ist ein Düsenjetprototyp, der seinen Heimatflughafen nie verlassen hat.

    Re: sichtbar unsicher (Score:0)
    Von Anonymer Feigling am Thursday 03. March 2005, 15:33 MEW (#10)
    Dann müßten die Zertifizierer ja jeden einer Bonitätsprüfung, etc. unterziehen. Das können die nicht leisten, auch seriöse nicht. Das ist auch nicht der Sinn von SSL-Zertifikaten. Nur leider wird immer wieder der Glaube vermittelt, wenn man das Schlößchen sieht sei es sicher.
    Re: sichtbar unsicher (Score:2)
    Von P2501 am Thursday 03. March 2005, 14:37 MEW (#5)
    (User #31 Info) http://www.p2501.ch/
    Darum ist das Finanzrisiko ja auch beim Verkäufer. Wenn dir ein Eintrag auf der Kreditkartenrechnung nicht passt, kannst du die Buchung ohne Angaben von Gründen stornieren. Ausser natürlich, der Verkäufer hat eine gültige Unterschrift von dir, was aber im Internethandel logischerweise nicht der Fall ist.

    --
    Linux ist eine Turboprop. HURD ist ein Düsenjetprototyp, der seinen Heimatflughafen nie verlassen hat.

    Re: sichtbar unsicher (Score:1)
    Von vade am Thursday 03. March 2005, 14:52 MEW (#8)
    (User #1577 Info)
    das finanzrisiko wird ja aber dann vom benutzer mitgetragen, da die kreditkartenfirmen einen prozentsatz den haendlern abrechnen (bis zu 6%) und die das ja wohl kaum selbst bezahlen wollen und es den produkten draufrechnen. das tragen dann sogar die nicht kreditkartenbenutzer mit (nicht bei online geschaeften natuerlich), da es den geschaeften nicht gestattet ist barbezahlern rabatte zu gewaeren.
    Re: sichtbar unsicher (Score:2)
    Von P2501 am Thursday 03. March 2005, 17:41 MEW (#12)
    (User #31 Info) http://www.p2501.ch/
    Es ist fast unmöglich, internationale Geldtransfers zu machen, ohne irgendwo irgendwelche Gebühren zu zahlen. Kreditkarten sind da keine Ausnahme. Das hat aber nichts mit dem Finanzrisiko zu tun. Den Kreditkartenunternehmen ist es ziemlich wurscht, wenn eine Buchung storniert wird. Die streichen den Betrag in der Regel einfach vom Kreditkartenkonto des Händlers ab.

    --
    Linux ist eine Turboprop. HURD ist ein Düsenjetprototyp, der seinen Heimatflughafen nie verlassen hat.

    Re: sichtbar unsicher (Score:1)
    Von vade am Friday 04. March 2005, 09:51 MEW (#13)
    (User #1577 Info)
    richtig aber bei postcard und ec-karte sind die gebuehren ca. 4-6x geringer, da das risiko fuer missbrauch auch geringer ist. oder fuer was bezahlt der haendler mehr fuer kreditkarten transaktionen?
    Re: sichtbar unsicher (Score:2)
    Von P2501 am Friday 04. March 2005, 11:31 MEW (#15)
    (User #31 Info) http://www.p2501.ch/
    Nur bei Zahlungen im Inland. Nutzt man Postcard oder EC-Card im Ausland, sind die Gebühren nicht mehr viel kleiner. Hinzu kommt, dass Postcard und EC-Card Debitkarten sind, d.h. der Betrag wird gleichzeitig dem Händler gutgeschrieben und beim Kunden abgebucht. Bei Kreditkarten kann zwischen den beiden Vorgängen über ein Monat vergehen.

    --
    Linux ist eine Turboprop. HURD ist ein Düsenjetprototyp, der seinen Heimatflughafen nie verlassen hat.

    Re: sichtbar unsicher (Score:1)
    Von vade am Friday 04. March 2005, 12:28 MEW (#16)
    (User #1577 Info)
    bueno, dann sind aber die kreditkarten gebuehren im ausland ja wohl auch hoeher.

    Bei Kreditkarten kann zwischen den beiden Vorgängen über ein Monat vergehen.

    schon klar, d.h. der haendler bezahlt mehr gebuehren und wartet erst noch laenger aufs geld. fazit ist eigentlich, dass kreditkartenunternehmen abzocker sind.
    Re: sichtbar unsicher (Score:2)
    Von P2501 am Friday 04. March 2005, 14:19 MEW (#17)
    (User #31 Info) http://www.p2501.ch/

    bueno, dann sind aber die kreditkarten gebuehren im ausland ja wohl auch hoeher.

    Zumindest bei meiner Karte nicht. Allerdings geht beim Währungsumrechnen natürlich noch ein kleiner Betrag drauf.

    schon klar, d.h. der haendler bezahlt mehr gebuehren und wartet erst noch laenger aufs geld. fazit ist eigentlich, dass kreditkartenunternehmen abzocker sind.

    Naja. Das Kreditkarten im Nationalen Geschäft in der Schweiz schlecht abschneiden, ist bekannt. Dort haben sie sich auch nur in bestimmten Branchen und Nischen durchgesetzt. Aber im Internationalen Geschäft haben alle Alternativen irgendwelche schwere Nachteile. Dort sind Kreditkarten das Zahlungsmittel Nummer 1 ohne Aussiht auf Ablösung.


    --
    Linux ist eine Turboprop. HURD ist ein Düsenjetprototyp, der seinen Heimatflughafen nie verlassen hat.

    Re: sichtbar unsicher (Score:1)
    Von vade am Friday 04. March 2005, 15:23 MEW (#18)
    (User #1577 Info)
    ich meinte die gebuehren, die der haendler draufzahlt. weiss nicht obs einen unterschied macht ob man mit ner inlaendischen karte kommt oder nicht. fact ist, dass sie schon im inland teilweise 6% betragen, davon merkt der kunde direkt nichts.
    Re: sichtbar unsicher (Score:2)
    Von P2501 am Friday 04. March 2005, 16:31 MEW (#19)
    (User #31 Info) http://www.p2501.ch/
    Die meinte ich auch (wobei die Umrechnungsdifferenz natürlich zu Lasten des Kunden geht). Und 6% sind schon recht hoch. Visa verlangt IIRC je nach Umsatz zwischen 1,5% und 4%.

    --
    Linux ist eine Turboprop. HURD ist ein Düsenjetprototyp, der seinen Heimatflughafen nie verlassen hat.

    Re: sichtbar unsicher (Score:1)
    Von paulb (PaulB_NoSpam@freesurf.ch) am Friday 04. March 2005, 19:14 MEW (#20)
    (User #524 Info)
    Vergessen solltet ihr nicht das meist der devisenkurs abgerechnet wird, und der ist
    immer billiger als der cash kurs ...

    paulb
    auch per email (Score:1)
    Von Anonymer Feigling am Thursday 03. March 2005, 14:37 MEW (#6)
    andere online shops haben zwar alles schön verschlüsselt, schicken aber einem ein bestätigungsmail (nix verschlüsselt) wo die ganze KK nummer, ablaufdatum und sicherheitsnummer von hinten drinsteht... _NICHT_ ganz durchdacht!
    Anscheinend hats doch nichts gebracht (Score:2)
    Von creative (stefan at tlmedia punkt ch punkt nospam) am Friday 04. March 2005, 10:35 MEW (#14)
    (User #1607 Info)
    Denn die Page ist noch immer Online.
    Keine Warnung an die Kunden, rein gar nichts. Also ist bisher noch wenig geschehen. Wenn ich der Anbieter wäre, hätte ich die betroffene Sektion SOFORT offline genommen und hätte mich daran gemacht, das Zeugs über https laufen zu lassen.
    Evtl. muss man da noch mehr Druck machen, indem mans mal an die örtlichen Zeitungen schickt. Sonst passiert da noch lange nichts...

    Linux User Group Schweiz
    Durchsuche symlink.ch:  

    Never be led astray onto the path of virtue.
    trash.net

    Anfang | Story einsenden | ältere Features | alte Umfragen | FAQ | Autoren | Einstellungen