News Paypal: Transaktionen bald direkt auf Händler-Webseite

[Dario]

Also mich hats bisher nicht gestört dass ich meine Transaktionen direkt bei Paypal vornehmen musste. Im Gegenteil, Sicherheitstechnisch fühl ich mich mit so einer Sache nicht mehr ganz so sicher.

 

[riDDi]

Deswegen wird auch vor und nach der Transaktion alles überprüft und erst im Nachhinein kommt das "Go" zustande. Mal eben so einen Wert verändern geht nicht, da wird die Transaktion abgebrochen. Das muss dann schon vor dem Absetzen des ersten Requests zu PayPal geschehen und spätestens dann siehst du es sofort.

Es muss nichts verändert werden. Vmtl. wird das Paypal-Fenster in einem Iframe geladen (prinzipiell egal, falls das nicht der Fall, ist ist es noch einfacher).

• Die angreifende/kompromittierte Seite nennt mir einen sehr günstigen Preis, wegen dem ich zuschlage.
• Der Angreifer fordert von Paypal in meinem Namen eine bedeutend höhere Summe an
• Paypal zeigt dieses Fenster an.
• Der Angreifer schätzt wo sich der Preis befindet verdeckt ihn mit einem DIV, das den viel günstigeren Preis enthält.

Wenn da was flackert oder die Positionierung nicht perfekt ist macht das auch nichts. Es gibt genug Nutzer, die auch auf gefakte Windows-Fensterrahmen hineinfallen.

 

[Syrell]

mehr chancen für missbrauch und stuerhinterziehung

 

[BxB]

Uh, da sehe ich sehr kritisch.
XSS - Cross Site Scripting, Phishing mit präparierten Seiten und so ... das wird böse.
Auch verschlüsselte Seiten mit https-Verschlüsselungen können da Schindluder treiben und wehe wenn mal die Server gehackt werden für modified Zugriff.
Auf https-paypal-seite kann man sich auf die integrität des browsers verlassen, dass die zertifikate über die zertifikatsstellen gültig sind und die kommunikation rein mit denen verschlüsselt erfolgt.
bei der anderen seite weiss ich nicht, was die von der verschlüsselung mit für sich selbst nutzen.
wer ist nicht an acc+pw von paypal konten interessiert, wenn es keiner weiss? wer gibt mir die schuld, wenn ich eh korrupt bin und die dann weiter verhöker ganz still und heimlich ...

Ich sehe das sehr kritisch und ich bin da eh skeptisch beim bisherhigen. ich möchte eine mögliche trennung in "BLITZ-PAYPAL 1 CLICK" wie dort beschrieben und "klassisch paypal" wie bisher mit eigener seite und Auftrag per Parameter übertragen.

 

[WhiteShark]

Also meine Bank-Logindaten gebe ich grundsätzlich nur auf der echten Bankseite ein (weswegen Sofortüberweisung für mich nicht nutzbar ist).
Genauso werde ich auch mit Paypal verfahren. Sobald ich meinen Paypal-Login eingeben soll und in der Adressleiste steht nicht paypal.com, werde ich den Vorgang abbrechen.
Denn sowas lässt sich immer manipulieren.

 

[Zeboo]

Ich mag PayPal nicht, finds schade dass die ein Monopol haben und das so viele Mitmenschen immer noch schwören PayPal sei A+ und man ohne sie nicht mehr weiterleben kann...

 

[madrix]

Mit diesem sollen Nutzer den Dienst in Zukunft noch einfacher benutzen können.

Warum habe ich dabei so ein flaues Baugefühl, dass damit die Sicherheit flöten geht?

 

[Kontrollfreak]

Es muss nichts verändert werden. Vmtl. wird das Paypal-Fenster in einem Iframe geladen (prinzipiell egal, falls das nicht der Fall, ist ist es noch einfacher).

• Die angreifende/kompromittierte Seite nennt mir einen sehr günstigen Preis, wegen dem ich zuschlage.
• Der Angreifer fordert von Paypal in meinem Namen eine bedeutend höhere Summe an
• Paypal zeigt dieses Fenster an.
• Der Angreifer schätzt wo sich der Preis befindet verdeckt ihn mit einem DIV, das den viel günstigeren Preis enthält.

Wenn da was flackert oder die Positionierung nicht perfekt ist macht das auch nichts. Es gibt genug Nutzer, die auch auf gefakte Windows-Fensterrahmen hineinfallen.

Ganz genau. Ich bin sehr gespannt, wie PayPal dieses Problem gelöst haben will.

Selbst wenn die Authentifizierung (Anmeldung) immer noch über eine externe PayPal-Seite ablaufen sollte und die Zugangsdaten somit sicher (relativ) vor Missbrauch sind, nützt das in diesem Fall gar nichts. In dem Glauben, ein Schnäppchen zu machen, segnet der Kunde die gefälschte Transaktion ab.

 

[drago-museweni]

Habe da auch Sicherheitsbedenken auch wenn ich das Geld zurückbuchen kann von der Bank hat man erstmal Ärger wenn das was falsch läuft, mir wäre es lieber wenn auswählen kann, da würde ich lieber wie bisher über die originale Seite gehen, gerade wo das Böse überall lauert muss man da schon sehr aufpassen und immer alles überprüfen das nervt.

 

[Mars2k8]

Ich hasse diesen Popup-Schrott... schon schlimm genug dass man bei Android bei Apps die das WebView nutzen nicht sieht wo man sich da eigentlich einlogged... nun macht PayPal das auch noch.
Wozu haben Browserhersteller eigentlich extra Zertifikatsinfos in die Adresszeile gebaut wenn dieser Phishingschutz mittlerweile schon von den Anbietern selbst durch irgendwelche eingebetetteten Sachen ausgehebelt wird!?

 

[Euphoria]

Naja noch schlimmer und einfacher wäre es die Daten nicht zu manipulieren, sondern nur die Zugangsdaten abzugreifen. Das zu bauen wäre kein Ding, ich erinnere an 1:1 Kopien von Steam, die auch die Daten ordnungsgemäß an Steam weiterleiten, aber halt auch zwischenspeichern.
Damit können die dann noch mehr anrichten, als durch eine Manipulation des Preises.

 

[chaos2oo2]

Die Frage ist welche Möglichkeiten hab ich dann noch sicherzustellen, dass es kein Phising ist? wenn man die URL nicht mehr sieht?!

 

[Don Luigie]

Was wäre das für ein OnlineShop, der nur PayPal als Bezahlsystem anbietet. Somit ist es jedem überlassen welchen Dienst er nutzen möchte.

Ein Laden der nur paypal zum bezahlen anbietet, hat mich das letztemal gesehen. Da kauf ich lieber woanders.

Paypal, bin ich weg.

 

[Cool Master]

@chaos2oo2

HTTPS Zertifikat.

 

[Mars2k8]

HTTPS Zertifikat funktioniert aber eben nur, wenn es ein IFrame ist. Und selbst dann ist es unnötig umständlich zu prüfen.
Wie wird das mit PayPal eigentlich bei Apps, z.B. Lieferservice-Apps, geregelt? Muss man sich da etwa tatsächlich aufgutglück in dem WebView einloggen (bei dem ich es ein Unding von Google finde, dass die dem immernoch keine Adresszeile o.ä. geben)?

Ich finde sowas kann man nur negativ bewerten: Für die sicherheitsbewussten ist es ein Sicherheits- bzw. Komfortverlust und die unbedarften Benutzer werden noch weiter dazu erzogen, nicht auf die Sicherheit zu achten. Gleichzeitig ist der Komfortgewinn auch für die User die Zertifikat nicht checken IMO minimal. Das mindeste ist, dass man das in seinem PayPal-Account abschalten können muss.

 

[Cool Master]

@Mars2k8

Gibt auch andere Wege z.B. FireBug damit kann ich eigentlich alles sehen was auf einer Seite abläuft, aber ok ich habe damit auch beruflich zu tun der 0815 User wird die Tools nicht wirklich einsettzen.

 

[Violinho]

Selbst wenn alles ordnungsgemäß abläuft wird ja mein LogIn beim Händler gespeichert. Ich fand es immer sehr praktisch, dass ich auf die Paypalseite weitergeleitet worden bin. Wenn jetzt jeder Händler bei dem ich einkaufe meinen LogIn speichert, ist für mich die Gefahr viel größer dass meine Daten irgendwann in Umlauf kommen. Gerade kleine Händler werden keine großen Sicherheitsvorkehrungen haben. Ich werde es mir ganz genau genau überlegen ob ich dann überhaupt noch mit Paypal zahlen möchte.

 

[Niceshice]

Paypal ist so ein undurchsichtiges Unternehmen. Paypal soll sich erstmal in Deutschland anmelden und Steuern bezahlen!!!! VORHER SOLLTEN die hier gar nicht agieren dürfen. Sowieso eine Zahlart wo ich nicht mal mal mein Handy aus der Tasche nehmen muss, kann doch nur schiefgehen.. Wie soll das sicher funktionieren wenn ich die Zahlung nicht mal bestätigen muss?

 

[Cool Master]

Paypal ist so ein undurchsichtiges Unternehmen. Paypal soll sich erstmal in Deutschland anmelden und Steuern bezahlen!!!!

Nach deiner Logik müsste sich das Unternehmen also in jedem Land der Welt anmelden und einen Sitz haben und natürlich überall Steuern zahlen? Da könnten sie gleich ein e.V. gründen...

Zudem warum sollte PayPal in Deutschland Steuern zahlen? Nur weil diese Geldweiterleiten? Aber ja hauptsache mal Stammtisch Niveau erreicht!

 

[Dario]

Zudem warum sollte PayPal in Deutschland Steuern zahlen? Nur weil diese Geldweiterleiten? Aber ja hauptsache mal Stammtisch Niveau erreicht!

Paypal agiert nicht altruistisch, von daher ist das ein Unternehmen wie jedes andere auch und verdient in Deutschland sicherlich auch gutes Geld! Ich fänd das jetzt nicht ungerecht, wenn diese in Deutschland auf Ihre Einnahmen auch Steuern zahlen müssten!