Konten & Einladungen: Lyceum

Kein Passwort im Klartext

Früher erzeugte ein neues Konto ein Startpasswort, das dir angezeigt wurde und das du weitergeben musstest: per Nachricht, per Zuruf, irgendwie. Ein Passwort, das durch einen Chat läuft, ist kein Passwort mehr.

Heute bekommt die eingeladene Person einen einmaligen Link und setzt ihr Passwort selbst. Der Link läuft ab und funktioniert genau einmal.

Wechselzwang, wo er nötig ist

Wurde ein Konto anders angelegt, verlangt die erste Anmeldung einen Wechsel, und zwar wirksam, nicht als Hinweis, den man wegklickt.

Der Zugangs-Trail

Anmeldungen, Fehlversuche und Passwortwechsel werden protokolliert. Nicht für Statistik, sondern für die eine Frage, die im Ernstfall zählt: wer war wann drin?

Drosseln je Konto

Fehlversuche werden pro Konto gezählt, nicht pro Verbindung. Anders herum teilen sich alle Nutzer hinter derselben Leitung ein Limit, und ein Angreifer umgeht es, indem er die Leitung wechselt.