Wir sind ja glaube ich, bei in der QS von Finanzapplikationen tätig, oder täusche ich mich da?
Nicht ganz. Ich bin Programmierer und einige der Anwendungen gehören in den Bereich Finanzen und Versicherungen (eher letzteres ).
Ich würde das unserer Applikation nicht durchgehen lassen, Du?
Es kommt aus meiner Sicht darauf an wie hoch die allgemeinen Ansprüche an die Sicherheit sind. Imho übertragen alle Webmailer die Daten per http und nicht https. Ein Webmailer, der allemöglichen Sicherheitsfeatures besitzt, dann aber doch eine offen läßt, ist vielleicht unsicherer als einer, der aus usability Gründen ein paar weitere Türen offen läßt. Einfach weil der erstere vielleicht etwas vorgaukelt.
Im Laufe der letzten 7,5 Jahre sind an mich immer wieder Anforderungen herangetragen worden, bei denen ich angemerkt habe, dass das sicherheitsmässig bedenklich bis schwer bedenklich sind. Nicht alle Organisationen haben eine solche QS. Leider. Manche dieser Anforderungen wurden umgesetzt. Der krasseste Fall war eine IHK, die gerade dabei war, mir als "realistische Testdaten" die Liste der Leute in NRW zur Verfügung stellen, die wegen extremer Verschuldung auf der ganz schwarzen Liste standen. Das wurde aber gestoppt. Von mir übrigens
Seh aber Sicherheit als Fall-zu-Fall Geschichte. Webmailer haben eben aus meiner Sicht nicht so hohe Anforderungen an Sicherheit. Wenn sich diese Einschätzung in der Bevölkerung verbreitet, ist das vielleicht diese beste Sicherheit für diese Produktgruppe.
In vielen Organisationen hab ich beobachtet, dass sich mit ungenügender QS leicht eine Haltung einschleicht: "Theoretisch sind wir für 120% Sicherheit. Die Praxis sieht aber ein bischen anders aus". Das find ich wesentlich problematischer als eine Sichtweise nach der Fall-zu-Fall entschieden wird was geht und was nicht geht.
@Thomas: Mit httpSession.invalidate() an der richtigen Stelle kann man ein echtes log-out durchführen.
