Kommentare zu: Outbank 2 legt Nutzer-Passwort im Klartext auf dem Mac ab [Update]

Von: Martin

Martin — Mon, 18 Feb 2013 12:31:34 +0000

Ja aber das gilt nur, wenn Du auch die WebApp nutzen möchtest …

Von: Carlos

Carlos — Mon, 21 Jan 2013 08:31:13 +0000

Bestätigt

Von: Daniel

Daniel — Sat, 19 Jan 2013 11:48:29 +0000

Hallo, kann mal bitte jemand versuchen in der Mac Version ein Konto zu löschen – bei mir folgt regelmäßig ein Absturz ??

Von: Martin

Martin — Sat, 19 Jan 2013 11:14:36 +0000

Outbank verspielt seinen guten Ruf. Finanzblick it ein Blick Wert

Von: Bernd Winki

Bernd Winki — Sat, 19 Jan 2013 06:23:27 +0000

Outbank stürzt bei mir permanent ab wenn ich die Umsätze abfrage. Da spielt die Sichheitslücke doch keine Rolle, den wenn ein Programm absolut unbrauchbar ist kann es ruhig unsicher sein. Es hat ja keinen Nutzen.

Von: bofax

bofax — Fri, 18 Jan 2013 22:21:09 +0000

Liebe(r) cobra1OnE,
das hat weniger was mit meckern zu tun, sondern mit Aufklären. Ich werde Outbank sicherlich wieder benutzen, wenn diese Lücke geschlossen ist, da es ein super Produkt ist. Aber momentan sollte das der Durchschnittsuser nicht tun, bis das Update eingespielt ist. Meine Meinung. Kann ja jeder machen wie er will (darf dann aber auch nicht jammern, wenn doch jemand Drittes Zugriff auf sensible Daten bekommen hat).
Buenas noches.

Von: cobra1OnE

cobra1OnE — Fri, 18 Jan 2013 22:08:54 +0000

Das hast du doch auf Facebook schon geschrieben, oh man. Hauptsache was zu meckern. Stoeger IT behebt doch schon die Fehler und das erste update 2.01 für iOS und OSX ist schon bei Apple.

Von: bofax

bofax — Fri, 18 Jan 2013 21:30:43 +0000

Fassen wir zusammen:

Das Anmelde-Passwort für Outbank (bzw. für die Outbank-Datenbank) wird im Klartext in die Datei /var/log/system.log geschrieben. Diese Datei ist für alle Benutzer unter OS X lesbar:

-rw-r–r– 1 root wheel 837733 18 Jan 22:23 /var/log/system.log

D.h. jeder Benutzer auf dem Mac kann problemlos das Passwort für die Datei im Klartext lesen. Als Workaround wird von stoeger-IT der Shell (“Terminal”)-Befehl

sudo -i — ‘cd /var/log && grep -vE “OutBank\[" system.log > system.log.clean && mv system.log.clean system.log && if [[ -f system.log.0.bz2 ]]; then for a in system.log.*.bz2; do bunzip2 $a && grep -vE “OutBank\[” ${a%.*} > ${a%.*}.clean && mv ${a%.*}.clean ${a%.*} && bzip2 ${a%.*} ; done; fi; rm -f /var/log/asl/*.asl’

vorgeschlagen, der nach jeder Benutzung von Outbank ausgeführt werden soll. Dieser Befehl löscht die betreffenden Einträge aus dem Logfile.

Das Problem ist, dass schon *während* der Benutzung das Passwort im Klartext in /var/log/system.log steht und problemlos ausgelesen werden kann! Es wird direkt nach der Eingabe ins Logfile geschrieben.

Die einzig richtige Konsequenz ist, OutBank nicht zu benutzen, so lange dieser Fehler besteht, und das sollte meiner Meinung nach auch den Kunden so mitgeteilt werden.

Von: YUCKFOU!

YUCKFOU! — Fri, 18 Jan 2013 20:41:33 +0000

Ich zahle Bar auf die Kralle ;)

Von: honkomat

honkomat — Fri, 18 Jan 2013 19:59:57 +0000

Danke Sven, guter Tipp! Ich habs gelöscht und benutze Outbank bis zum Update nicht mehr.

Von: Technikelse

Technikelse — Fri, 18 Jan 2013 19:23:48 +0000

Du hast bestimmt auch keine Scheckkarte und zahlst am liebsten mit Naturalien…

Von: heldausberlin

heldausberlin — Fri, 18 Jan 2013 18:51:17 +0000

ymmd! :D

Von: YUCKFOU!

YUCKFOU! — Fri, 18 Jan 2013 18:30:58 +0000

Fehler passieren immer, aber mir ist’s lieber das es der Bank passiert und diese mich entschädigt, statt nen Dummen Spruch via Twitter wahrzunehmen. Aber jeder wie er will ;)
Aber du hast natürlich nicht unrecht, alles wird schneller und hektischer, da will man halt mal hier und da etwas Zeit sparen. Man sollte nur aufpassen wo man diese spart, nicht das alle Arbeit umsonst war, weil das ersparte weg ist ;)

Von: schlossperle

schlossperle — Fri, 18 Jan 2013 18:10:09 +0000

Router mit guter Firewall, nur selektiv Ports weiterleiten. Antivirenprogramme, hm, verhindern momentan noch am ehesten die Weiterverbreitung von Windows-Viren.

Java im Browser abstellen, wenn’s nicht gebraucht wird.

Der mit Abstand wichtigste Schutz vor Trojanern ist und bleibt: Hirn einschalten, bevor man etwas runterläd und es auf dem Rechner startet.

Von: Norbaer

Norbaer — Fri, 18 Jan 2013 18:05:17 +0000

Nee, auf die Bank geh ich nicht – da spionieren sie mit Ferngläsern den PIN aus und überfallen danach erst Dich, dann die Bank

Von: schlossperle

schlossperle — Fri, 18 Jan 2013 17:53:51 +0000

Von: schlossperle

schlossperle — Fri, 18 Jan 2013 17:52:29 +0000

Ganz Deiner Meinung. Alles muss kostenlos und bugfree sein, und zwei Tage Verspätung sind eine Frechheit (so hier oft gelesen). Vertrauen gewinnt man dadurch, dass man Fehler (die überall passieren) schnell und professionell behebt. Und wer das gleiche Passwort auch woanders verwendet, sollte eh besser ganz still sein.

Von: schlossperle

schlossperle — Fri, 18 Jan 2013 17:43:49 +0000

Haben die nicht auch Finanzblick geprüft?

Von: schlossperle

schlossperle — Fri, 18 Jan 2013 17:40:07 +0000

Ist eine Alternative, aber nicht unbedingt besser. Das ist sicher auch Geschmacksache, vor allem beim Interface und wie man kategorisiert, aber nach etlichen Wochen intensiver Nutzung von Finanzblick gefällt mir Outbank 2 deutlich besser. Und Finanzblick hatte auch schon etliche Bugs, die dann behoben wurden. Genauso wie Outbank bald gefixt wird. Vielleicht sollten wie die Apps nicht danach allein beurteilen, wie sie am 1. Tag abschneiden?

Von: schlossperle

schlossperle — Fri, 18 Jan 2013 17:35:56 +0000

Und den Banken passieren keine Fehler? Nein, irgendwo muss jeder seinen Weg finden, in dieser hektischen Welt ein paar Optimierungen einzubauen. Wenn ich alles händisch oder zu Fuß machen würde, weil’s sicherer, gesünder, schöner usw. ist, dann bräuchte mein Tag 48 Stunden. Sorry, dann halt auch mal was riskieren. Oje, ich darf mein Systems.log nicht im Internet posten! Hey, es gibt Schlimmeres!

Von: YUCKFOU!

YUCKFOU! — Fri, 18 Jan 2013 16:44:52 +0000

Die beste Alternative … KEINE SOFTWARE BENUTZEN für Sensible Daten!

Von: YUCKFOU!

YUCKFOU! — Fri, 18 Jan 2013 16:37:06 +0000

hehe, ja zu blöd, gibt ja mittlerweile “Brainjaner”

Von: YUCKFOU!

YUCKFOU! — Fri, 18 Jan 2013 16:32:16 +0000

Leute, warum traut ihr irgendeiner Software eines Drittanbieters eure sensiblen Daten an????
Selber Schuld!
Es gibt keine Sicherheit in unserer Zeit, alles ist jederzeit einsehbar, macht euch das endlich bewusst. Lauft zur Bank und gut ist, ihr faulen Säcke ;)

Von: Lennart

Lennart — Fri, 18 Jan 2013 15:29:51 +0000

Macht doch nix. Sind genauso persönliche Daten, die bis zu einer Freiwilligen Veröffentlichung niemanden etwas angehen.

Für mich persönlich sind meine SMS/Emails sogar sensibler als die Konto Daten.

Von: Michael

Michael — Fri, 18 Jan 2013 15:04:48 +0000

Aber WhatsApp hat nix mit meinem Geld zu tun…