Sicheres Ablegen privater Daten - wie wo?

[alecsk]

Hallo an dieses Forum.
Interessante und nützliche Themen gibt es hier

Nun zu meinem Anliegen.

Für einen Service auf meiner zukünftigen Seite muss man eine Mobilfunknummer hinterlegen. Da gerade solche Daten höchst sensibel sind suche ich bei euch Rat wie man diese Nummer sicher und praktikabel abspeichern kann.

Neben der Möglichkeit die Nummer auf Server als Datei oder auf der Datenbank abzulegen kam mir noch der Cookie-Gedanke. Zwar müsste regelmäßig seine Nummer neu eingeben - dennoch wäre nichts auf dem Server. Allerdings könnte man so ständig seine Nummer wechseln - das ist auch weniger sinnvoll. Außer es gäbe einen kostenlosen SMS-Dienst der dem Nutzer ein Bestätigungscode schickt.

So. Hier gibt's sicherlich Ideen

[nikosch]

Wem sollte die NUmmer als Cookie nuzten? Der User kennt sie ja. Und ein Cookie wird bei jedem Aufruf mitgesendet. Ob das nun ein Sicherheitsgewinn ist?!
Wo liegen die Bedenken, das serverseitig zu speichern?

Also für SW-Design ist mir das Thema wirklich zu mau.

[MOD: verschoben]

[alecsk]

Das Verschieben des Themas kann ich nicht nachvollziehen. Das korrekte Abspeichern ist essentiel für mein Projekt. Und es gehört zum Design des Portals.

Aber gut - mag von mir aus Ansichtssache sein.

Der Sicherheitsgewinn liegt darin, dass keine Mobilfunknummern auf dem Server liegen. Mir erscheint es sicherer aus einem Cookie einem anderen User die Nummer über https zu senden als diese vom Server abzurufen. Ich kann mich auch täuschen. Darum frage ich hier nach.
Vor allem WELCHE Möglichkeiten es gibt das relativ sicher zu gestalten.

[ByStones]

Ich weiß nicht was man dann alles mit der Nummer machen kann, aber dann kann ich dir einfach jede Nummer schicken.
Wenn ich weiß dass Person XY bei deinem Service angemeldet ist, kann ich einfach kurz die Nummer rausfinden und in das Cookie schreiben und schon kann ich den Dienst unter fremdem Namen benutzen ?!

[agrajag]

Ich finde das Cookie keine gute Idee.
Wenn du das so machen willst solltest du einige Dinge bedenken:
- das Cookie liegt beim Client, du solltest es also entsprechend verschlüsseln (sonst kann jeder der Zugriff zum Rechner hat den Wert auslesen)
- das Cookie wird bei jedem Request mitgesendet. Du solltest also darauf achten, dass du SSL verwendest bzw. das Cookie nur für eine https URL setzt

Ich weiß nicht was aus deiner Sicht dagegen spricht die Nummer einfach auf dem Server in die Datenbank zu speichern....

[alecsk]

hmm.. generell spricht ja nichts dagegen das in der datenbank abzuspeichern.. allerdings hätte ich gerne irgend eine methode das sicherer zu machen.. bspw. wenn die datenbank gehackt wird das die nummer nicht einfach so erkennbar ist..
hm

[nikosch]

Also ehrlich - Du willst die Nummer in einem Cookie ablegen, wo in jedem Internetcafe jeder im Cache fremde Nummern auslesen kann, weil Du Angst hast, dass Deine DB gehackt wird?!

Das korrekte Abspeichern ist essentiel für mein Projekt. Und es gehört zum Design des Portals.

Bis jetzt sehe ich hier NULL Infos über Dein „Projekt“.

[alecsk]

@nikosch

Ich bin hier weil ich mir Informationen einholen möchte. Deine Art kommt mir langsam schon etwas pampig vor. Zumal ich mir von solchen Diskussionen mehr erhoffe.. bspw. Gegenvorschläge oder Gegenfragen wenn man nicht genau weis was ich meine.

Um was es in meinem Projekt geht ist doch egal. Es geht um die Frage die ich oben gestellt habe. Vielleicht hätte ich Lust mehr darüber zu berichten wenn man mich danach gefragt hätte!?

@alle

also noch zur Ergänzung: Es geht natürlich nicht nur um eine Mobilnummer - sondern um hunderte oder tausende von Nummern - für mich gibt es natürlich einen Unterschied ob EINE Nummer in einem Internetcafe zurück bleibt oder tausende aus einer Datenbank.

Zumal man - wie hier auch angedeutet wurde - ein Cookie - oder den Inhalt eines Cookie verschlüsseln kann, richtig?
Aber ich bin nicht total auf die Cookie-Geschichte fixiert. Ich suche nur nach einer Lösung die ganze Sache noch sicherer zu machen. Nicht mehr und nicht weniger.

[Flor1an]

Wenn deine Datenbank "gehackt" wird hast du ganz andere Probleme. Denn dann könnte dir der Angreifer auch höchstwahrscheinlich nen Skript unterjubeln das einfach den Datenverkehr zwischen Client und dir mitloggt und somit die Nummer dann dem Angreifer schön per Email zukommen lässt.

Wofür brauchst du die Nummern denn? Wenn sie im Cookie liegen kannst DU nicht drauf zugreifen, heißt wenn du ne SMS an Nummern schicken wollen würdest oder die Userdaten eines Benutzers einsehen möchtest dann könntest du NIE die Handynummer einsehen ...

[alecsk]

Guter Einwand ... hmm ja ..
was ist generell mit der Idee Dateien auf einer Ebene tiefer abzulegen (vom web nicht greifbar)?

[nikosch]

Deine Art kommt mir langsam schon etwas pampig vor. Zumal ich mir von solchen Diskussionen mehr erhoffe.. bspw. Gegenvorschläge oder Gegenfragen wenn man nicht genau weis was ich meine.

Sorry, aber wenn Du uns nicht mal die Automarke sagst, kannst Du nicht erwarten, dass Dir hier der Motor eingestellt wird. Dir scheint auch das technische Grundwissen zu fehlen. Oder wie soll man:

sondern um hunderte oder tausende von Nummern - für mich gibt es natürlich einen Unterschied ob EINE Nummer in einem Internetcafe zurück bleibt oder tausende aus einer Datenbank.

interpretieren?

vom web nicht greifbar

Datenbankdaten sind auch nicht vom „Web greifbar“. Es sei denn, Deine Anwendung greift darauf zu.

[alecsk]

Entweder hast du nen schlechten Tag oder willst neue User vergraulen. So oder so.
Bin wieder weg hier.

Es gibt weitaus höflichere Foren.
Bye

[nikosch]

Wie auch immer

Ich brauche bloß Deinen Nicknamen googlen, um zu sehen, dass nichtssagende Fragen Deine Spezialität zu sein scheinen.

[jGeee]

@alecsk: mal im ernst, dir wurde alles gesagt, vor und nachteile wurden genannt. vom technischen geschehen hast du keine ahnung und willst daten deiner benutzer speichern? Na dann mal happy datenschutz, wir wissen ja nun soviel von deinem projekt

naja nikosch, solltest dich schämen - jetzt ist hier ein hochqualifizierter fortgeschrittener Foren- & PHPuser verloren gegangen

[nikosch]

Ach ich legs ja gar nicht darauf an. Aber „Deine Frage ist unverständlich“ wird man wohl sagen dürfen..