Session Handling bei Passwortänderung

[Auge]

Hallo

ich bin es mittlerweile gewöhnt, dass man mich nicht immer versteht. Aber hier sollte der Vergleich nur zeigen, dass eine Bevormundung des Users grundsätzlich keine gute Idee, und in meinen Augen sogar ein dark pattern ist.

Das ist deine Ansicht.

Meine ist, wenn ein Benutzer sein Passwort ändert, sind seine Sessions, die er vor der Änderung des Passworts gestartet hat, technisch gesehen ungültig. Sie wurden mit nicht mehr gültigen Anmeldedaten erzeugt. Diese Sessions daher zu invalidieren und einen neuen Login mit den nunmehr gültigen Anmeldedaten zu erzwingen, ist meiner Meinung nach keineswegs eine Bevormundung, geschweige denn ein dark pattern. Es ist eine technische Notwendigkeit, um die Gültigkeit der Anmeldung(en) sicherzustellen.

Du vermengst in Deinem Posting (so wie ich es gelesen habe) zwei grundsätzlich unterschiedliche Szenarien:

1. gekaperte Session (Passwort unbekannt)
2. gekaperter Account (Passwort bekannt)

Ich vermenge das nicht. Ich gehen auf die Konsequenzen ein, die weiterbestehende Sessions nach einer Passwortänderung haben können. In dieser Hinsicht ist es auch Wurscht, ob 1. oder 2. zutrifft. Gekapert ist gekapert und mit der Invalidierung bestehender Sessions würden sowohl Fall 1. (die vorhandene Sesion wird beendet) als auch Fall 2. (ein neuer Login mit einem dem Angreifer nunmehr unbekannten Passwort wird erzwungen) erschlagen. Wobei ich selbst (bewusst) nur auf den Fall 2. (das Passwort ist dem Angreifer bekannt) einging.

Trotzdem bleibe ich bei meinem Votum, dass ein automatisches Abmelden aller Sessions des Users bei einem Passwort-Wechsel eine Entscheidung des Users bleiben muss, und nicht des Systems, weil der Architekt des Systems unmöglich die Bedürnisse der User in Gänze voraussehen kann.

Ich bin absolut nicht der Meinung, dass es im hier diskutierten Szenario um die Bedürfnisse des Nutzers gehen sollte, ja, gehen kann. Es kann nicht sein, dass der Benutzer sein Passwort ändert (aus welchen Gründen auch immer, das spielt hier keine Rolle) und erwartet, dass seine Anmeldungen, die mit einem nicht mehr gültigen Passwort erfolgt sind, zu seiner Bequemlichkeit bestehen beiben. Hier hat die Sicherheit des Systems (meiner Meinung nach absoluten) Vorrang. Anmeldungen haben mit gültigen Anmeldedaten zu erfolgen, das ist keine Bevormundung. Jemanden, der versucht, sich mit einem per se falschen Passwort anzumelden, würde man ja auch zurückweisen.

Jemanden, der an der Tür zu einem beschränkten Bereich sagt „Früher lautete das Passwort ‚Knickknack‘.“ lässt man ja auch nicht rein. Da fordert man doch auch das aktuelle Passwort ein oder weist den Einlass begehrenden ab, oder?

Tschö, Auge