Automatische Info Mail an User

  • Hi!


    Ich habe einem User ein Telefon hinzugefügt. (sein drittes; wichtige Person)


    Der User bekam ein Mail von Starface mit folgendem Inhalt:
    --------------------------------------------------------------------------
    Dear Mr./Mrs. Franz Meier,


    Your user account for the STARFACE Telephone System has been created or changed..


    Your Login-ID is: https://17.4.3.20
    Your password is: {3}
    Please open the STARFACE Web Interface with the following link, in order to personalize your settings and get to learn the functions and features: {4}


    You can find more information about the features and functionality of the STARFACE Telephone System in the Users Manual.


    Your STARFACE
    --------------------------------------------------------------------------


    Was ich ansich ja in Ordnung finde.
    Jedoch passt da irgendetwas nicht, weil der Wert bei Login & PW ist definitv falsch.
    Kann/Muss ich diesen Text konfigurieren ?


    Vielen Dank
    Bernhard


    P.S.: Kann man vielleicht diesen automatischen Mailverkehr deaktivieren ?

    Liebe Grüsse
    Bernhard


    Starface Enterprise V6.7.2.2
    Starface Advanced V6.7.2.2
    Starface Compact V6.7.2.2


  • Hallo,


    welche Version setzt du gerade ein?

    Quality Assurance


    STARFACE GmbH | Adlerstraße 61 | 76137 Karlsruhe | www.starface.com


  • P.S.: Kann man vielleicht diesen automatischen Mailverkehr deaktivieren ?


    Das habe ich mich auch schon oft gefragt, ich halte es für keine gute Idee Passwörter per Mail zu verschicken.
    Stattdessen könnte man einfach ein Token nehmen, dort kann der Benutzer das Passwort dann über die https Verbindung setzten.

  • Hallo!


    Das Thema ist schon etwas älter und offenbar interessiert es auch keinen so wirklich. Aus meiner Sicht ist es aber ein UNDING, dass bei Änderungen in der Benutzerkonfiguration Emails mit Benutzernamen und Passwort verschickt werden.
    Passwörter sollten generell nicht per Email verschickt werden und erst recht nicht deart unaufgefordert.


    Hier ist es nochmals problematischer, weil Accountnutzer (und somit der, welcher das Passwort vergibt) und die eingetragene Email in der Praxis nicht der selben Person gehören. Es kann also ein Admin/Vorgesetzter/Externer Dienstleister die Passwörter von den Nutzern abfischen und wir wissen ja, dass die meisten ein und das selbe Passwort für etliche Dienste verwenden.


    Zudem frage ich mich, woher die Klartext-Passwörter stammen. Laut diesem Forumseintrag
    https://support.starface.de/fo…n-DB-Klartext-gespeichert
    werden sie nicht mehr im Klartext in der Datenbank gespeichert (ein "select password from account;" gibt auf unserer Anlage nur Hashes aus).


    Bitte unbedingt sofort fixen! Danke!


    Starface-Version 6.6.0.20

  • Hallo mga


    Wenn man ein Passwort in der Oberfläche ändert, wird beim speichern bereits das entsprechende E-Mail bereits generiert, also noch bevor das Passwort überhaupt gehascht wurde, und in der DB landet.
    Weil das schon seit Jahren so ist, ändern wir immer zuerst die E-Mail Adresse auf eine ungültige, ändern das PW, und setzten danach wieder die korrekte E-Mail Adresse.


    Trotzdem sollte es die Möglichkeit geben die E-Mail Benachrichtigung zu unterdrücken.


    Mfg


    Fabian

  • Ich habe mich auch schon oft darüber geärgert und verstehe nicht warum hier nichts passiert.
    Zum Glück haben wir Starface und Mailserver im lokalen Netzwerk, mit einer Cloud Anlage hätten wir da schon verloren.

  • Schön wäre es auch, wenn man dieses Template der Mail einfach mal abändern könnte.


    Oder wie Slu schon sagte ein Token.


    Man bekommt einen Link auf den man klickt und dort kann man dann beispielsweise sagen "Token generieren"


    Dann klingelt das Telefon, bekommt einen code und muss den dann in der Oberfläche eingeben um sich ein Passwort erstellen zu können oder ein bestehendes abzuändern

    2 Mal editiert, zuletzt von Kaese ()

  • Hallo zusammen,


    euer Feedback ist nicht unerhört gegangen, sondern wir haben geplant in einem der nächsten Releases das per Email zugestellte Passwort zu einem "Einmalpasswort" abzuändern, die vor der Nutzung der STARFACE zu ändern wäre (das Einmal-Passwort kann auch nicht wieder verwendet werden!). Setzt ein Admin das Passwort zurück, wird ebenfalls ein Einmalpasswort per Email zugestellt und muss beim nächsten Login geändert werden. Eine erste Iteration davon habe ich schon aufm Tisch gehabt :)


    VG


    Tom


    PS: ja wir denken auch an AD-Login :)

    Quality Assurance


    STARFACE GmbH | Adlerstraße 61 | 76137 Karlsruhe | www.starface.com

  • Ich habe immer noch nicht verstanden, warum das besser ist.
    Wir gehen doch davon aus, dass ein böswilliger Dritter Zugriff auf die Email mit den Zugangsdaten hat. Dann hat er auch Zugriff auf das Einmalpasswort und kann sich damit anmelden.
    Anschließend ändert er das Kennwort (dazu wird er gezwungen) und ändert es danach wieder auf das Einmalkennwort zurück (ich nehme an, die Anlage wird sich nicht _alle_ vergangenen Passwörter merken. Das könnte sonst auch unschöne Effekte nach sich ziehen).
    Nun können sich der böswillige und der eigentliche User beide anmelden. Lediglich die Tatsache, dass der eigentliche User nicht zur erneuten Änderung des Kennworts aufgefordert wird, wäre ein Hinweis darauf, dass sich ein böswilliger Dritter Zugriff verschafft hat.


    Wenn ein User nach dem Zurücksetzen eines Kennworts durch den Admin dieses selbst auf ein persönliches Kennwort ändert, ist das in beiden Fällen der sichere Weg.

  • Wenn due User ihr Passwort wissen dürfen, finde ich das E-Mail ganz unproblematisch.


    Wir haben aber auch Anlagen/Firmen, wo die Kitarbeiter ihren Voreingerichteten UCC-Client bekommen, und ihr Passwort gar nicht wissen dürfen.


    MfG


    Fabian


  • Dann bitte konsequent und SSO auch ermöglichen. ;)

  • Ich habe immer noch nicht verstanden, warum das besser ist.
    Wir gehen doch davon aus, dass ein böswilliger Dritter Zugriff auf die Email mit den Zugangsdaten hat. Dann hat er auch Zugriff auf das Einmalpasswort und kann sich damit anmelden.
    Anschließend ändert er das Kennwort (dazu wird er gezwungen) und ändert es danach wieder auf das Einmalkennwort zurück (ich nehme an, die Anlage wird sich nicht _alle_ vergangenen Passwörter merken. Das könnte sonst auch unschöne Effekte nach sich ziehen).
    Nun können sich der böswillige und der eigentliche User beide anmelden. Lediglich die Tatsache, dass der eigentliche User nicht zur erneuten Änderung des Kennworts aufgefordert wird, wäre ein Hinweis darauf, dass sich ein böswilliger Dritter Zugriff verschafft hat.


    Wenn ein User nach dem Zurücksetzen eines Kennworts durch den Admin dieses selbst auf ein persönliches Kennwort ändert, ist das in beiden Fällen der sichere Weg.


    Das ist dahingehend problematisch, da diese Mails nicht verschlüsselt sind und das Passwort im Klartext in der Mail steht.


    Da brauche ich nicht mal Zugriff auf den Rechner um das abzufangen.


    Am besten wäre natürlich eine SSO Lösung mit AD

  • Das ist dahingehend problematisch, da diese Mails nicht verschlüsselt sind und das Passwort im Klartext in der Mail steht.
    Da brauche ich nicht mal Zugriff auf den Rechner um das abzufangen.


    Dann habt ihr eure Mailserver schlicht falsch konfiguriert! Die sollten nur noch SMTPS annehmen. Das sollte also mindestens transportverschlüsselt sein.


    Und dass ein Empfänger seine Email an ihn lesen kann, ist eigentlich gewünschtes Design. Wenn man das nicht will, sollte man einen anderen Emailempfänger eintragen.


    P.S.: User Template PRO kann übrigens Zugangsdaten neu setzen, ohne dass Emails versendet werden.

  • Dann habt ihr eure Mailserver schlicht falsch konfiguriert! Die sollten nur noch SMTPS annehmen. Das sollte also mindestens transportverschlüsselt sein.


    Aber ich hab doch gar keine Kontrolle welchen Weg die Mail geht...?

  • Aber ich hab doch gar keine Kontrolle welchen Weg die Mail geht...?


    Du hast doch die Kontrolle darüber, an welchen SMTP-Server die STARFACE die Mail zustellt.
    Und euer Mailserver sollte die finale Zustellung nur an Empfängermailserver durchführen, wenn eine transportverschlüsselte Verbindung hergestellt werden kann (das ist sogar eine Forderung aus der DSGVO).


    Ergo: Der komplette Transportweg bis in die Empfängermailbox wäre transportverschlüsselt.

  • Bei uns ist das kein Problem, unser Mailserver steht in der eigenen DMZ und extern ist es mit Transportverschlüsselung.
    Ich dachte da eher an Weiterleitungen usw., das führt dazu das die Mail über einige Mailserver laufen kann...

  • Bei uns ist das kein Problem, unser Mailserver steht in der eigenen DMZ und extern ist es mit Transportverschlüsselung.
    Ich dachte da eher an Weiterleitungen usw., das führt dazu das die Mail über einige Mailserver laufen kann...


    Das wiederum wäre vollständig in der Sphäre bzw. im Verantwortungsbereich des Empfängers. Darüber hättest Du auch keine Kontrolle, wenn der Emailinhalt S/MIME- oder PGP-verschlüsselt wäre. Denn der Empfänger kann diesen entschlüsseln und unverschlüsselt weitersenden.
    Und weitere Mailserver werden normalerweise nur dann involviert, wenn Domänengrenzen überschritten werden und hierdurch andere Mailserver zuständig werden.


    Die Regel ist: Der eigene Mailserver oder der des eigenen Mailproviders stellt an den Empfängermailserver zu -- und das transportverschlüsselt.

  • Dann habt ihr eure Mailserver schlicht falsch konfiguriert! Die sollten nur noch SMTPS annehmen. Das sollte also mindestens transportverschlüsselt sein.


    Und dass ein Empfänger seine Email an ihn lesen kann, ist eigentlich gewünschtes Design. Wenn man das nicht will, sollte man einen anderen Emailempfänger eintragen.


    P.S.: User Template PRO kann übrigens Zugangsdaten neu setzen, ohne dass Emails versendet werden.


    Ich hoffe dir ist bewusst, dass das ne Milchmädchenaussage ist?


    Bei uns in der Firma haben Teams untereinander Zugriff auf die Postfächer.


    Wenn jemand also in das Postfach eines anderen guckt, dann kann er das Passwort lesen, da es dort schön groß und breit im Klartext steht.
    Wenn er das jetzt nicht ändert gute Nacht.

  • Ich hoffe dir ist bewusst, dass das ne Milchmädchenaussage ist?


    Nein, klär mich auf...


    Auch wäre mir nicht bewusst, dass sich Milchmädchen mit sicherem Emailversand auseinandersetzen... deren Business ist eher der Vertrieb von tierischem Eutersekret.



    Bei uns in der Firma haben Teams untereinander Zugriff auf die Postfächer.


    Dann habt ihr das wohl so entschieden, dass das für euch ok ist...
    Da ihr vorher nicht wisst, ob euch vertrauliche Inhalte an diese Adresse(n) zugestellt werden (denn das ist nicht in eurer Sphäre, sondern in der eines beliebigen Absenders), habt ihr damit wohl ein entsprechendes Vertrauensverhältnis im Team aufgebaut.


    Die Teammitglieder wissen in dieser Konstellation somit ganz allgemein über alles Bescheid, was andere Teammitglieder tangiert. Auch über die Geliebte, die sich per Email für die letzte Nacht bedankt.



    Wenn jemand also in das Postfach eines anderen guckt, dann kann er das Passwort lesen, da es dort schön groß und breit im Klartext steht.
    Wenn er das jetzt nicht ändert gute Nacht.


    Ja, weil ihr genau das mit eurer Konfiguration so wolltet! Gute Nacht!

Jetzt mitmachen!

Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!