Amazon akzeptiert teilweise falsche Passwörter

[Stegan]

<p><img src="/images/stories/logos/amazon.jpg" width="100" height="100" alt="amazon" style="margin: 10px; float: left;" />Die Anmelde-Server von <a href="http://www.amazon.de/" target="_blank">Amazon</a> sollen bei einigen Kundenkonten auch falsche Kennwörter akzeptieren. Das haben die Kollegen von heise Security herausgefunden. Nach einem Hinweis eines Lesers, der versehentlich sein Kennwort zweimal hintereinander in das Passwort-Feld beim Login eingegeben hatte und sich trotzdem ohne Probleme nach einem Klick auf „Weiter“ einloggen konnte, sind die Kollegen aus Hannover Buchholz-Kleefeld der Sache näher auf den Grund gegangen. Insgesamt machten sich 30 Mitarbeiter des Verlags ans Werk und versuchten den Fehler bei ihren Amazon-Accounts zu reproduzieren.</p>
<p>Mit Erfolg: Bei...<br /><br /><a href="/index.php/news/allgemein/wirtschaft/27412-amazon-akzeptiert-teilweise-falsche-passwoerter.html" style="font-weight:bold;">... weiterlesen</a></p>

 

[phisCON]

Sehr gut,dann kann man sich den "Passwort vergessen"-Button sparen.

 

[lordUnbekannt]

Oder gleich das erstellen einen Benutzerkontos, wenn man einfach ein "fremdes" nutzen kann.

 

[SaKuLification]

Tja, geht in einen Laden und kauft da eure Bücher, DVDs und anderen Krims. Dort braucht ihr ihr nur eure EC-Karte oder sowas ausgefallenes wie Bargeld.

 

[Hardwarekäufer]

Wo ist da die Sicherheitslücke? Man benötigt immer noch die ersten acht stellen des Passwortes oder nicht?

Das ist immer noch sicherer, als wenn das Passwort nur aus 7 Zeichen besteht.

Wenn das Passwort "Auto" ist und ich kann stattdessen "Baum" eingeben - das wäre ein Skandal. Aber so ?!

btw: Es scheint entweder nur dann zu funktionieren, wenn das Passwort keine Sonderzeichen enthält, oder das ganze wurde schon "gefixt".
Bei mir funktioniert es nämlich NICHT.

 

[powergamer]

Wo ist da die Sicherheitslücke? Man benötigt immer noch die ersten acht stellen des Passwortes oder nicht?

Das ist immer noch sicherer, als wenn das Passwort nur aus 7 Zeichen besteht.

Wenn das Passwort "Auto" ist und ich kann stattdessen "Baum" eingeben - das wäre ein Skandal. Aber so ?!

bin gleicher Meinung, 8 Zeichen reichen völlig aus. Die Überschrift ist völlig übertrieben formuliert.

 

[icykante]

ich habe es auch getestet und ich konnte mich nicht anmelden. Das richtige Kennwort mit Grossbuchstaben getestet - auch dort war keine Anmeldung möglich. Hmmm Datenbankfehler? Wie auch immer / Es ist erschreckend, dass es funktioniert....

 

[Novastar]

Natürlich ist das ein großes Problem, powergamer und Hardwarekäufer. Die Sicherheit der Passwörter wird so massiv runtergesetzt. wenn nur 8 Zeichen statt 11 benutzt werden. Viel schlimmer ist allerdings die Unklarheit, was eigentlich das Problem ist. Da es bei manchen Leuten funktioniert und bei manchen nicht, muss da ein viel größeres Problem hinter stehen, welches die Sicherheit der Passwörter noch viel stärker beeinflussen kann.
Möglicherweise ist Amazon auch auf die dämliche Idee gekommen, und hat einen eigenen Hash-Algorithmus entwickelt, welcher jetzt vielleicht Fehler hat. (Bspw. haben bestimmte Passwörter bei 8 und bei 11 Zeichen den gleichen Hash-Wert oder so, da ist vieles möglich.)

 

[Hardwarekäufer]

Ich habe bisher keinen Fall gehört wo man mit einem falschen password bei Amazon in ein Konto gekommen wäre.

Solange die Mehrzahl der Leute Passwörter unter 8 Zeichen benutzt ist das kein Sicherheitsproblem. Ein pw mit Sonderzeichen und insgesamt fünf stellen ist sicherer als 11 wenn man ein Wort aus dem Duden wählt.

Vll liegt das Problem ja in der Redaktion. Haben die das auch von anderen Rechnern aus getestet?

 

[Novastar]

Wie gesagt, möglicherweise sind das nur die Auswirkungen eines viel größeren Problems, welches die Stärke der Passwörter auch bei Zahlen, Sonderzeichen und ägyptischen Hieroglyphen auf ein Niveau runtersetzt, bei dem es in akzeptabler Zeit geknackt werden kann.
Die Sicherheit hängt ja auch nicht alleine von der Stärke des Passworts ab. Wenn Amazon die Passwörter im Klartext speichert, dann nutzten dir auch 30 Zeichen nichts. Sobald unberechtigter Zugang zur Datenbank verschafft wurde, ist dein Passwort hinfällig.

Dass das ganze nicht so einfach ist, sieht man ja bereits daran, dass es mehrere, verschiedene Probleme gibt. Zufälle Zeichen nach dem Passwort eingegeben? Du kannst dich einloggen. Nicht alle Zeichen eingegeben? Du kannst dich einloggen.


Eine Möglichkeit wäre, dass Amazon bei einem falschen Passwort das Passwort etwas ändert (beispielsweise Zeichen vom Ende entfernen) und es dann noch mal testet. Falls es dann funktioniert, wird der Benutzer eingeloggt. (Nur eine Theorie.)

 

[LookOut]

Kanns nicht nachstellen mein Amazon Passwort hat nur 5 Zeichen

 

[phisCON]

Tja, geht in einen Laden und kauft da eure Bücher, DVDs und anderen Krims. Dort braucht ihr ihr nur eure EC-Karte oder sowas ausgefallenes wie Bargeld.

Die EC-Karte kann an einem manipulierten Automaten durchleuchtet und das Bargeld ganz nach der alten Schule aus der Tasche gemopst werden.

 

[Frozenthunder]

Hab auch genau 8 Zeichen und habs mal getestet, ging nicht.

 

[R-Adi]

Mein Passwort hat genau 8 (ich weiß, die Nennung dessen ist schon eine Userverschuldete Sicherheitslücke) und ist eigentlich schon sehr alt. Kann die Sicherheitslücke aber nicht bestätigen. Passwortwechsel wird trotzdem durchgeführt, war eh schon lange fällig...

 

[Hardwarekäufer]

Vll haben die die Passwörter gespeichert und der Browser korrigiert sie nach der Eingabe automatisch... und machen einen riesen Aufriss draus.

 

[siM•Luxx]

was ich auch witzig finde: mein Vater hat sich vor paar Monaten mit einer nicht existierenden Emailadresse dort registriert, selbst die Struktur der Email name@hoster.tld war falsch

und die wurde dennoch akzeptiert

haben die keine Überprüfungsfunktion?

 

[Novastar]

Wie sah die Struktur denn aus? Das von dir angegebene ist ja richtig. Hat Amazon nicht auch eine Überprüfung, ob die E-Mailadresse existiert? (Also Prüflink aus einer E-Mail aufrufen und so.)

 

[Hardwarekäufer]

Ist bei Amazon doch reichtlich egal mit welcher Email man sich dort registriert. Spätestens für die Lieferung gibt man doch eh eine Adresse an - die ist für ne Verifizierung mehr wert als ne Email.

Wüsste auch nicht warum man dort keine funktionierende Email-Adresse hinterlegen sollte.

Ob ich nun eine echte Emailadresse angebe die ich mir minuten vorher bei GMX erstellt habe ohne richtige Daten, oder ob ich nun ne falsch angebe ist für die Privatsphäre reichlich wumpe.
Letztendlich hat Variante zwei für mich nur den Nachteil, dass ich bei einer Bestellung keine Statusupdates erhalte.