speichern von informationen in jwt-nutzdaten
<p>derzeit läuft das zugriffstoken in 15 minuten ab und die einzige in der nutzlast gespeicherte information ist die benutzer-id.</p><p>jeder benutzer hat ein guthaben, das er in der app verwenden kann. sollte ich bei jeder anfrage die datenbank abfragen, damit ich den kontostand ziehen kann? wäre es unsicher, die nutzlast zu speichern?</p>
<blockquote> <p><strong> tl/dr </strong>: obwohl sie das guthaben in ihrem jwt speichern könnten und es vor manipulationen geschützt wäre, gibt es viele möglichkeiten, wie das guthaben im jwt erstellt werden kann möglicherweise technisch gültig, aber immer noch falsch. daher ist es wahrscheinlich am besten, jedes mal den kontostand in der datenbank zu überprüfen, und sie müssen ihn auf jeden fall überprüfen, bevor sie transaktionen durchführen</p> </blockquote><p>es gibt zwei arten von zeugen jehovas:</p><ol> <li>jws: payload ist im "klartext" und hat eine signatur, um den inhalt zu bestätigen</li> <li>jwe: die nutzdaten sind vollständig verschlüsselt.</li> </ol><p>diese haben leicht unterschiedliche anwendungsfälle. wenn sie lediglich überprüfen müssen, ob die im jwt gespeicherten daten korrekt sind und nicht manipuliert wurden, ist ein jws in ordnung (vorausgesetzt, sie implementieren es ordnungsgemäß und überprüfen die signatur bei allen anforderungen). daher können sie den kontostand in einem jws speichern und später bestätigen, dass der gemeldete kontostand dem entspricht, den sie ursprünglich gespeichert haben.</p><p>wenn sie die daten auch privat halten möchten, können sie einen jwe verwenden. die verschlüsselung garantiert auch, dass die daten nicht geändert werden (vorausgesetzt, sie implementieren das jwe ordnungsgemäß). beachten sie, dass die einzige person, die normalerweise zugriff auf das jwt hat, der endbenutzer ist. wir sprechen daher davon, es für sie privat zu halten - wahrscheinlich nicht erforderlich für ihren anwendungsfall (h/t <a href="https://security.stackexchange.com/questions/221827/storing-info-in-jwt-payload/221828?noredirect=1#comment451909\_221828">edc</a> ).</p><p><strong> daher ist die waage vor manipulationen geschützt. </strong></p><p>in beiden fällen sollten sie den kontostand mit der datenbank überprüfen, bevor sie eine tatsächliche transaktion durchführen, da:</p><p><strong> der kontostand ist möglicherweise immer noch falsch. </strong> wenn eine andere transaktion ohne aktualisierung eines jwt durchgeführt wurde oder wenn ein alter jwt angezeigt wird (auch bekannt als wiederholungsangriff), dann sie können eine gültige jwt haben, die das falsche guthaben hat. dies ist sehr wahrscheinlich auch ohne aktive angreifer. stellen sie sich einen benutzer vor, der mehr als eine app verwendet. was passiert in ihrem hypothetischen szenario, wenn ein kontostand in einem jwt auf einem gerät gespeichert ist und sich der benutzer dann bei einem anderen gerät anmeldet und eine transaktion durchführt? die daten im jwt für das erste gerät sind jetzt falsch, obwohl das jwt selbst gültig ist und nicht abgelaufen ist. dies ist nur eine von vielen möglichkeiten, wie gültige, aber falsche jwts auftreten können.</p><p>es gibt viele möglichkeiten, probleme mit veralteten daten in einem jwt zu beheben, aber am ende sind diese korrekturen möglicherweise mehr arbeit als jedes mal die datenbank zu überprüfen. dies ist jedoch ein balanceakt, der letztendlich bei ihnen liegt! da gibt es keine richtige antwort.</p>
hi@statia,herzlich willkommen in unserer community.tut mir leid, dass es bei dir einen zugriff durch dritte gibt. bitte wundere dich nicht, dass ich deinen post verschoben habe. wir haben das thema bereits vorliegen, daher habe ich ihn hierher verschoben.bitte ändere zuerst direkt deine zugangsdaten, indem du das passwort zurücksetzt. im nachfolgenden link findest du eine anleitung dafür, wie das passwort neu vergeben werden kann:ferne bitte ich dich, wobei dies vom gerät abhängt, alle automatischen logins zu entfernen. logge dich also einmal bewusst aus allen joyn apps aus, in denen du eingeloggt bist. ein schließen der app führt nicht automatisch zum logout aus der app, wodurch andere, wenn sie zugriff auf das gerät haben, beim Öffnen der app inhalte sehen können. Hast du ein Backup deiner Daten? ...nein?  
Dann ist der Fall abgeschlossen ich hoffe du weist jetzt wofür Datensicherungen gut sind. hallo @shui hui,vielen dank für deine anfrage. hast du schon in deinem einzelverbindungsnachweis nachgeschaut?hier wurde dir rückwirkend die datenautomatik berechnet. bitte beachte, dass diese datenautomatik tatsächlich von dir genutzt worden ist. liebe grüße,tobias hallo,

habt ihr das gerät schon mal aus-und wieder eingeschaltet? so komisch das auch klingt, aus meiner erfahrung behebt das schon viele komische fehler.

als nächstes könnte man die daten des gerätes sichern. entweder in die cloud oder auf einen pc. anschließend kann man das gerät zurück setzen. … Die meisten sind heute aus Thermopapier und halten, falls sie offen liegen, nur 3 Wochen manchmal. Man muß sie verschlossen und "dunkel" aufbewahren, und wichtige kopiere ich schnellstens. Neuerdings hat meine Bank, die Sparkasse auch die Kontoauszüge auf so einem Papier. Ich war sauer darüber und habe mir die Dauer der Dokumente bestätigen lassen, schriftlich, 8 Jahre auf jeden FAll sagt man dort. Auf der Rückseite sind Anweisungen für die Aufbewahrung zu lesen. Die Banken nehmen immer höhere Gebühren, aber der Kunde sieht sich immer wieder neuen Umständen gegenüber, notfalls müssen die Belege auch wieder fotokopiert werden, mal abwarten, das wären dann zusätzliche Kosten mal wieder. beim account der ausgeloggt wird bleibt alles erhalten.


Wenn du dein passwort nicht mehr weißt, dann nutze die **Passwort vergessen** funktion.


Wenn du öfters mal Passwörter vergisst, empfehle ich dir KeePass für windows und dazu KeePassDroid für Android. @sebastian12387du kannst ein gerät alle 30 tage entfernen, sobald die geräteliste voll ist. logge dich dafür einfach mit einem neuen gerät ein und dir wird die komplette geräteliste angezeigt, aus der du ein gerät entfernen kannst. Hallo Daniel,  
  
ja das bekommen wir hin. Bitte überprüfen Sie ob in der App der korrekte Anmeldename und PIN hinterlegt ist (identisch wie im normalen Online-Banking). Der Zugang könnte z.B. auch gesperrt sein. Damit wir das rausfinden können, lassen Sie uns bitte über das [Kontaktformular](https://www.bw-bank.de/community-kontakt) Ihre persönlichen Daten zukommen. Wir werden uns dann bei Ihnen melden.  
  
Viele Grüße  
Nicolas Das ist dort genau das gleiche. Bei einer sehr hohen Sicherheitsstufe, wegen Terrorgefahr, musst du sogar damit rechnen, dass die Abfertigung derart langsam von statten geht, dass zwei Stunden kaum ausreichen. Informier dich auf der Homepage von JFK über die Sichwerheitsstufe: <http://www.jfkiat.com/> <p>versuche etwas wie</p><pre><code>&lt;ifmodule mod\_expires.c&gt; expiresactive on expiresdefault "access plus 1 seconds" expiresbytype text/html "access plus 1 seconds" expiresbytype image/x-icon "access plus 2592000 seconds" expiresbytype image/gif "access plus 2592000 seconds" expiresbytype image/jpeg "access plus 2592000 seconds" expiresbytype image/png "access plus 2592000 seconds" expiresbytype text/css "access plus 604800 seconds" expiresbytype text/javascript "access plus 86400 seconds" expiresbytype application/x-javascript "access plus 86400 seconds" &lt;/ifmodule&gt; </code></pre><p>oder </p><pre><code>&lt;filesmatch "\.(?i:gif|jpe?g|png|ico|css|js|swf)$"&gt; &lt;ifmodule mod\_headers.c&gt; header set cache-control "max-age=172800, public, must-revalidate" &lt;/ifmodule&gt; &lt;/filesmatch&gt; </code></pre>