[react] Passwordmailer

[Startups]

Nogmaals met uitleg.

--- Topic:
Er staat in het passwordmailer mailtje bewust niet de gebruikersnaam, maar de gebruikersnaam van dit emailadres is te achterhalen via deze site.

Klopt dat?
---

--- Reactie:
nee

Jah, wij (de admins) kunnen dat uiteraard wel, maar de gewone gebruiker kan dat niet.
---

Uitleg, je gebruikt het emailadres bij het registreren, et voila je krijgt:
Het ingevoerde e-mail adres is al in gebruik door gebruiker XXXXX.
(interne identificatie: user::new_user::email_in_use)

En als je dat nummer hebt:
http://gathering.tweakers.net/forum/myreact/XXXXX

[Voutloos]

Als iemand in jouw mailbox dit soort mailtjes kan lezen zit daar toch het probleem ipv in React?

Voor het aanvragen heb je al de gebruikersnaam nodig, dus het probleem doet zich alleen voor als ik bij jouw mail kan.

[blaataaps]

Uit zijn verhaal maak ik het volgende op:
Als je de passwordmailer gebruikt, staat uit veiligheidsoverwegingen de username niet in die mail begrijp ik. Het punt is nu echter, dat als je een mailadres weet (wat er dik inzit als je dat mailtje ziet), kun je door te proberen een nieuw account aan te maken achter de username komen waarbij het adres hoort, waardoor het bewust niet noemen van de gebruikersnaam in de passwordmail zinloos wordt.

[ Voor 5% gewijzigd door blaataaps op 04-04-2005 23:58 ]

[martinx76]

Oftewel: het is nooit veilig. Maar als iemand echt zijn best doet om een account te kraken dan lukt hem/haar dat waarschijnlijk toch wel. Maar je hoeft het ze natuurlijk niet te makkelijk te maken (door bijvoorbeeld een handleiding "hoe achterhaal ik een gebruikersnaam" te posten )

[Osiris]

Mag ik het vreemd vinden dat er bij het registeren genoemd wordt bij welk ID het email-adres hoort? Of is daar een reden voor?

[Voutloos]

Osiris schreef op dinsdag 05 april 2005 @ 00:00:
Mag ik het vreemd vinden dat er bij het registeren genoemd wordt bij welk ID het email-adres hoort? Of is daar een reden voor?

Voor mensen die al ooit tig jaar geleden een account hadden maar dat vergeten waren?

[ Voor 3% gewijzigd door Voutloos op 05-04-2005 00:02 ]

[Startups]

blaataaps schreef op maandag 04 april 2005 @ 23:56:
Uit zijn verhaal maak ik het volgende op:
Als je de passwordmailer gebruikt, staat uit veiligheidsoverwegingen de username niet in die mail begrijp ik. Het punt is nu echter, dat als je een mailadres weet (wat er dik inzit als je dat mailtje ziet), kun je door te proberen een nieuw account aan te maken achter de username komen waarbij het adres hoort, waardoor het bewust niet noemen van de gebruikersnaam in de passwordmail zinloos wordt.

Klopt, mijn verhaal was een beetje onduidelijk, bedankt.

[saviour]

Hmm, ik wilde dit net testen, door mijzelf proberen te registeren met hetzelfde email adres als destijds (rhm puntje soer at chello punt nl)... spijtig genoeg is de registratie succesvol verlopen

Dus helaas en excuus.

edit:
@ blaataaps: Nu weet ik het weer... In de tijd dat ik mij geregistreerd heb kon dat nog wel met hotmail adressen, zo is het gegaan denk ik.

Het nieuwe account met dat adres kan weg iig, ik zal hem ook niet activeren.

[ Voor 35% gewijzigd door saviour op 05-04-2005 01:02 ]

[blaataaps]

Ik moet je helaas teleurstellen, het email-adres wat je aanhaalt is niet het adres wat je destijd gebruikt hebt

[chem]

Ik snap waarlijk geen drol van je verhaal, maar als je mailbox 'gekraakt' is, dan zal je GoT-account wel je minste probleem zijn.

[blaataaps]

Ik leg toch precies uit wat hij bedoelt, het niet vermelden van de useraccount waar het gemailde wachtwoord bij hoort is beperkt zinvol, omdat door opnieuw te registreren makkelijk de mailadres->useraccount link te leggen is.

[ Voor 3% gewijzigd door blaataaps op 05-04-2005 11:02 ]

[dawuss]

Natuurlijk is dit makkelijk te fixen door die errormessage aan te passen zodat 'ie niet meer het userid weergeeft

[crisp]

dawuss schreef op dinsdag 05 april 2005 @ 11:04:
Natuurlijk is dit makkelijk te fixen door die errormessage aan te passen zodat 'ie niet meer het userid weergeeft

Na de merge wordt deze functionaliteit overgenomen door de frontpage; deze zal inderdaad ook geen userid's laten zien op het moment dat je een al gebruikt e-mail adres wilt opgeven bij registratie.

Daarbij zal een password mail vanuit de frontpage wel je nickname bevatten, maar moet je bij het opvragen van een nieuw wachtwoord zowel je nick als je e-mail adres opgeven (en niet of-of zoals nu in React). Op het moment dat er een foutieve combinatie wordt ingevoerd komt er een duidelijke foutmelding met een verzoek om contact op te nemen met een frontpage admin op het moment dat je of je nick niet meer weet, of je e-mail adres ondertussen is veranderd en dat het niet de bedoeling is om een nieuw account aan te maken