Sicherheit
- Wiederholte fehlgeschlagene Anmeldeversuche können nicht mehr genutzt werden, um jemanden aus dem eigenen Konto auszusperren. Der Anmeldeschutz begrenzt jetzt die Quelle der Versuche und nicht das angegriffene Konto, sodass die Kenntnis einer E-Mail-Adresse nicht mehr ausreicht, um deren Inhaber an der Anmeldung zu hindern. Uns extern mit einem klaren, reproduzierbaren Proof of Concept gemeldet.
- Die Antwort bei der Anmeldung verrät nicht mehr, ob eine E-Mail-Adresse zu einem bestehenden Konto gehört.
- Fehlgeschlagene Anmeldeversuche verfallen jetzt in einem gleitenden Zeitfenster, sodass ein längst vertipptes Passwort nicht mehr zu einer späteren Sperre beiträgt, und eine erfolgreiche Anmeldung setzt den Zähler zurück.
- Sicherheitswarnungen per E-Mail zu gesperrten Konten sind jetzt pro Empfänger begrenzt, sodass sie nicht zum Überfluten eines Postfachs genutzt werden können.
- Die Registrierung mit Google läuft jetzt vollständig über den verifizierten Google-Handshake, sodass ein Konto nur für eine Adresse erstellt werden kann, die Google als der sich registrierenden Person zugehörig bestätigt hat. Uns extern mit einem klaren, reproduzierbaren Proof of Concept gemeldet.
- Registrierung und Anmeldung mit Google sind jetzt genauso ratenbegrenzt wie die Registrierung mit E-Mail-Adresse und Passwort, und dieselben Regeln dazu, welche E-Mail-Domains ein Konto anlegen dürfen, gelten nun auch für die Google-Registrierung.
- Beim Aktivieren oder Deaktivieren der Zwei-Faktor-Authentifizierung melden wir Sie jetzt auf Ihren anderen Geräten ab, damit eine bereits offene Sitzung danach nicht weiterlaufen kann. Dort, wo Sie die Änderung vorgenommen haben, bleiben Sie angemeldet, und wir nennen Ihnen die Anzahl der beendeten Sitzungen. Uns extern mit einem klaren, reproduzierbaren Proof of Concept gemeldet.
- Für das Deaktivieren der Zwei-Faktor-Authentifizierung und das Ersetzen Ihrer Wiederherstellungscodes bitten wir Sie jetzt zuerst um eine Bestätigung Ihrer Identität.
- Die Mobilnummer, die Ihre Codes für die Zwei-Faktor-Authentifizierung erhält, wird jetzt in den Sicherheitseinstellungen geändert. Dort bestätigen Sie zuerst Ihre Identität und verifizieren dann die neue Nummer mit einem an sie gesendeten Code. Bis zu dieser Bestätigung gehen Ihre Codes weiterhin an Ihre bisherige Nummer. Wir informieren Sie über die Änderung und melden Sie aus Ihren anderen Sitzungen ab, sodass eine Änderung, die nicht von Ihnen stammt, sofort auffällt. Solange die Zwei-Faktor-Authentifizierung aktiv ist, lässt sich die Nummer nicht mehr im Profil bearbeiten. Uns extern mit einem klaren, reproduzierbaren Proof of Concept gemeldet.
- Behoben: Das Speichern Ihres Profils in der mobilen App löschte die Mobilnummer, an die Ihre Sicherheitscodes gesendet werden. Bei einem Konto mit aktiver Zwei-Faktor-Authentifizierung blieb dadurch bei der nächsten Anmeldung keine Nummer übrig, an die ein Code gesendet werden konnte.
- Ein Bestätigungslink zum Ändern Ihrer E-Mail-Adresse lässt sich nicht mehr verwenden, sobald eine neuere Änderung angefordert wurde. Nur der neueste Link funktioniert, sodass ein ersetzter Link, auch einer an eine versehentlich eingegebene Adresse, Ihr Konto nicht mehr verschieben kann. Eine vertippte Adresse zu korrigieren und den neuen Link zu verwenden, funktioniert genau wie bisher. Gemeldet über unser Programm zur Offenlegung von Schwachstellen.
- Eine ausstehende E-Mail-Änderung wird jetzt abgebrochen, wenn sich das Passwort Ihres Kontos ändert, ob Sie es in den Sicherheitseinstellungen ändern oder nach dem Vergessen zurücksetzen. Bisher überdauerte eine offene Änderung diesen Vorgang, sodass die Wiederherstellung Ihres Kontos eine bereits laufende Änderung nicht zurückzog. Hatten Sie eine ausstehende Änderung, fordern Sie sie erneut an, sobald Ihr Passwort gesetzt ist.
- Die Bestätigung einer E-Mail-Änderung benachrichtigt jetzt die Adresse, die Sie verlassen. Der bestehende Hinweis wird beim Anfordern der Änderung gesendet, also bevor sie wirksam wird. Dies ergänzt eine Nachricht nach dem Abschluss, die der bisherigen Adresse mitteilt, dass sie nicht mehr für die Anmeldung oder für das Zurücksetzen des Passworts verwendet wird.
- Die Obergrenze dafür, wie viele E-Mails zum Zurücksetzen des Passworts für ein Konto angefordert werden können, wird jetzt durchgehend angewendet. Bisher zählte sie einige gleichwertige Schreibweisen derselben Adresse wie verschiedene Konten, sodass für ein Postfach mehr solcher E-Mails ausgelöst werden konnten als die Grenze erlaubte. Die Grenze folgt nun dem Konto selbst, unabhängig von der Schreibweise der Adresse, eine getrennte Obergrenze begrenzt, wie viel dieser E-Mails eine einzelne Quelle auslösen kann, und zwischen Anfragen für dasselbe Konto gilt eine kurze Wartezeit. Kein Konto war dadurch gefährdet, da immer nur der neueste Link zum Zurücksetzen gültig ist, und am Zurücksetzen Ihres Passworts ändert sich nichts. Uns extern mit einem klaren, reproduzierbaren Proof of Concept gemeldet.
- Das Trennen eines Google-Kontos verlangt jetzt zuerst die Bestätigung Ihres Passworts und beendet danach Ihre übrigen Sitzungen. Sie erhalten eine E-Mail, sobald ein Google-Konto getrennt wird, sodass Sie von einer Trennung, die nicht von Ihnen stammt, sofort erfahren.
- Eine Schwachstelle wurde behoben, durch die beim Erstellen eines Support-Tickets Daten eines Kontakts oder Benutzers einer anderen Organisation zurückgegeben werden konnten. Anfragende, Zuständige und Beobachter eines Tickets werden jetzt immer innerhalb der eigenen Organisation aufgelöst. Uns extern mit einem klaren, reproduzierbaren Proof of Concept gemeldet.
- Die in unseren API-Antworten enthaltenen personenbezogenen Daten wurden reduziert. Angaben wie Telefonnummern und Sicherheitseinstellungen für die Anmeldung werden nicht mehr mitgeliefert, wenn eine Person an anderer Stelle im Produkt als Zuständige, Autor oder Mitglied erscheint, und bleiben im eigenen Profil sichtbar.
- Die Begrenzung für API-Token greift jetzt auch dann, wenn mehrere Token-Erstellungen im selben Moment eintreffen. Bisher konnte eine Reihe gleichzeitiger Anfragen ein Konto leicht über die erlaubte Anzahl aktiver Token hinaus bringen. Uns extern mit einem klaren, reproduzierbaren Proof of Concept gemeldet.
- Suchfelder in der gesamten Plattform behandeln Sonderzeichen in einem Suchbegriff jetzt als gewöhnlichen Text. Bisher wurden bestimmte Zeichen als Mustersyntax gelesen, sodass ein manipulierter Begriff auf jeden Datensatz einer Liste passen und die Suche weit aufwendiger machen konnte als beabsichtigt.
- Die Suche in Datensätzen benutzerdefinierter Objekte wurde ebenso behandelt, und die interne Umsetzung dieser Suche wurde durch ein sichereres Verfahren ersetzt.
Verbesserungen
- Felder für langen Text wie Beschreibungen, Notizen und Kommentare haben jetzt einheitliche Längengrenzen, sodass zu großer Inhalt mit einer klaren Validierungsmeldung abgelehnt wird, anstatt gekürzt zu werden oder beim Speichern unerwartet zu scheitern. Die Grenzen entsprechen dem, was jedes Feld tatsächlich aufnehmen kann, sodass bestehende Inhalte nicht betroffen sind.
Fehlerbehebungen
- Behoben: Die Konsole konnte nach der Anmeldung eine leere Seite zeigen, mit fehlendem Großteil des Menüs und ohne jede Erklärung. Die Konsole führt Sie jetzt immer auf eine Seite, die lädt, weist darauf hin, wenn Ihr Zugriff nicht bestätigt werden konnte, und bietet einen neuen Versuch an.
- Eine Organisation, deren Testphase oder Abonnement beendet ist, sieht jetzt eine klare Erklärung anstelle eines leeren Bildschirms. Mitglieder, die die Abrechnung nicht verwalten können, werden an einen Administrator verwiesen und können weiterhin zu einer anderen Organisation wechseln oder sich abmelden.
- Mitglieder einer Organisation ohne aktives Abonnement werden nicht mehr von genau der Prüfung, die sie zum Abonnieren auffordert, von der Abrechnungsseite ausgeschlossen.
- Das Speichern Ihres Profils mit einem falschen aktuellen Passwort übernimmt die übrigen Änderungen nicht mehr. Bisher wurden die anderen Felder des Formulars gespeichert, obwohl die Seite ein fehlgeschlagenes Speichern meldete.
- Benachrichtigungen in der App kommen jetzt in der in Ihrem Profil eingestellten Sprache an. Bisher wurden sie unabhängig von Ihrer Sprachauswahl immer auf Englisch gesendet.
- Help-Desk-Benachrichtigungen über eine neue Antwort eines Anfragenden sind jetzt übersetzt und nicht mehr nur auf Englisch.