FTP Zugriff für externen Dienstleister einrichten - Sicherheit?!

[noRiddle (revilonetz)]

Ach Leute, ohne Vertrauen geht sowieso nichts.
Im übrigen empfehle ich selbst z.B. allen Kunden bei denen ich beispielsweise theoretisch oder auch praktisch in die configure.php schauen kann/muß, daß sie
- wie Gradler schon richtig sagte -
"nach Abschluss der Arbeiten alle Passwörter und Zugänge ändern",
nur um auch selbst auf der sicheren Seite zu sein.

Wenn an DB und Core-dateien gearbeitet werden muß, ist es eben nicht zu vermeiden, daß der Dienstleister Einsicht in einiges gewinnt/gewinnen kann.

Jeder Hoster kann theoretisch alle Daten "klauen" bis hin zu Kundendaten die er weitergeben könnte.
Dem vertraut man ja auch.
(wobei ich zugeben muß, daß ich da keinem der Großen traue und mir einen kleinen mit gutem Service gesucht habe den ich auch persönlich ansprechen kann)

Vertrauen kann man schaffen und ohne geht in dieser Welt ohnehin nichts,
auch wenn es inzwischen ein geflügeltes Wort ist "Traue niemandem".

Wer Vertrauen nicht schaffen möchte und nicht haben kann/will muß eben alles selber machen.

Gruß,
noRiddle

[Matt]

Aber meine Daten darf ich Dir und Deinen Mitarbeiter schon komplett offenlegen. Da würde ich Dir sagen, was Du mich alles kannst.

Du willst doch, dass man dir hilft, oder? Dem Dienstleister dann Steine in den Weg zu legen ist sicherlich kein guter Ansatz.

Alternativ kann man als Dienstleister natürlich auch den fünffachen Preis aufrufen, weil die Arbeit über VNC mindestens dreimal so lange dauert und noch dazu unter erschwerten Bedingungen stattfindet (man müsste zum Beispiel mit der Software auf deinem Rechner arbeiten statt mit seinen eigenen, gewohnten und perfekt konfigurierten Programmen).

[piru]

Ach Leute, ohne Vertrauen geht sowieso nichts.

Jeder Hoster kann theoretisch alle Daten "klauen" bis hin zu Kundendaten die er weitergeben könnte.

Wer Vertrauen nicht schaffen möchte und nicht haben kann/will muß eben alles selber machen.

 

[baustelle]

Ich als Shopbetreiber möchte voodoopupps Problemempfinden verstärken und vsnases Vorschlag unterstützen, zumal das Thema ja noch andere Facetten hat, als "nur" die Vertraulichkeit von Daten.

So würde sich mein "Stammdienstleister" vermutlich bei mir bedanken, wenn ich Dritten Komplettzugang gäbe. Schwupps können eigene, aufwändig programmierte Module und Anpassungen kopiert und anschließend vermarktet werden, was geschäftsschädigend für ihn und auch für mich wäre. Wer viel in seinen Shop investiert hat, hat auch was zu verlieren.

Zudem hätte ich ab sofort damit zu rechnen, bei Störungen zu hören "ICH war das aber nicht, das muss jemand anderer gewesen sein...". Nee, danke. Sobald mehrere an sowas Sensiblem wie Shopdateien rumfummeln, ist Ärger vorprogrammiert. Was, wenn der Gastcoder mal eben einen Crash baut, weil ihm der Gesamtüberblick fehlt?

In voodoopupps Fall braucht ein Zulieferer einmaligen Zugang, um eine Disfunktion auszumachen und zu beheben. Dann möge er diesen Eingriff am offenen Herzen via Teamviewer gefälligst gut vorbereiten und unter meiner Aufsicht bzw. der des DL meines Vertrauens durchführen - auch wenns ruckelt und er die Nebelscheinwerfer anschmeissen muss. Wenn das für ihn mehr Aufwand bedeutet und er dafür eine Notdienststunde abrechnen möchte - bitteschön.

Aber ich bin sicher untypisch - ich lasse ja auch amazon und ähnliches Gesocks nicht in meinen Shop und bezahle gerne für empfangene, saubere Leistungen.

Greets,
Chris

[hbauer]

Ich weiß jetzt komme ich mit einer wirklich innovativen Idee um die Ecke.

Man könnte den Dienstleister auch bezahlen das er zu einem ins Büro kommt und auf dem eigenen PC unter der physikalischen Aufsicht die Änderungen macht.

Kostet natürlich etwas mehr ist aber auf jeden Fall die sicherste Variante

(Der, der sich noch daran erinnern kann wie es war als man nicht remote arbeiten konnte

Hagen

[Pictureclass]

Was wäre mit der Möglichkeit dem Dienstleister einfach die Daten zu schicken. Also ein Backup der Datenbank (Ohne sensible Daten) sowie die Dateien auf dem Server, mit geänderter config. Denn so hätte der Dienstleister auch den Vorteil, schnell mit den Daten zu arbeiten und könnte auch alles mögliche ändern und man selbst brauch sich keine großen Sorgen bzgl. der Sicherheit zu machen.

[Gradler]

Dann hättest Du aber immer noch die Ungewissheit, wie bereits von Baustelle geschildert, was geschieht mit Deinen zusätzlich im Shop verbauten "Unikaten".

Denke mal Mangalister hätte da wenig Interesse dran im Gegensatz zu manch anderen die sich da auf vielen "Spielwiesen" tummeln.

Aber mal speziell in diesem Fall gefragt. Ist es ein spezielles nur bei Dir voodoopupp auftretendes Prolbem oder ist das auch bei anderen so?

Gerd

[voodoopupp]

Gerd, keine Ahnung. Das Problem scheint wohl eher nur bei mir aufzutreten, ansonsten hätte ich das wohl mitbekommen. Denn wenn mal generell etwas nicht klappt, dann gibt es in der Regel im magnalister-Backend einen entsprechenden Hinweis.

Aber dennoch ist es einfach nicht nachvollziehbar, da ich nichts geändert hatte 

Grüße
Dominik

[noRiddle (revilonetz)]

Man könnte den Dienstleister auch bezahlen das er zu einem ins Büro kommt und auf dem eigenen PC unter der physikalischen Aufsicht die Änderungen macht.

Riesenidee. Kostet dann halt das eineinhalb-fache...

@baustelle
Man sollte ja auch bei seinem "Stammdienstleister" bleiben.
Nur so hat man immer einen Ansprechpartner und kann im Zweifel auch Disfunktionen nach Änderungen durch den genannten reklamieren.
Wenn man jedoch eigentlich einen Dienstleister hat aber immer wieder auch selbst am Shop "rumfummelt" oder mal diesen mal jenen an den Shop lässt, weil dieser oder jener vielleicht zwei Euro günstiger ist, um Geld zu sparen, wird der Stammdienstleister sich auch bedanken.
Da lobe ich mir die Kunden, die mit Ihrer Arbeit genug zu tun haben und einfach nur sagen "Ich brauche dies und das, kannst du mir das machen und was kostet das".
Schuster bleib' bei deinen Leisten.

Was wäre mit der Möglichkeit dem Dienstleister einfach die Daten zu schicken. Also ein Backup der Datenbank (Ohne sensible Daten) sowie die Dateien auf dem Server, mit geänderter config.

Völlig irreal.
Was soll der Dienstleister denn damit machen ?
Sich schnell mal einen Testshop mit deiner Shopumgebung aufbauen ?
Entwickeln, Einbauen von Erweiterungen, Codeveränderungen bedürfen schon der Möglichkeit diese auch auf Fehlerfreiheit zu prüfen und zu testen.
Das geht nur am Original.
Oder soll er dir die veränderten Dateien senden, du baust sie (hoffentlich) richtig ein und dann schreibt man sich hin- und her weil dies oder jenes noch nicht ganz sauber läuft ?

Ich sage es nochmal:
Ohne Vertrauen iss nich'.
Wie man ein solches aufbaut und daß man es aufbauen muß, liegt dann wohl auch an Eigeninitiative.

Ich finde hier werden Probleme konstruiert die keine sind.
(Aber bei Facebook, Twitter und Konsorten sein, Analytics-Tools benutzen, am liebsten alles über die Kunden die den Shop besuchen wissen wollen
- geht ja um die eigene Kohle -
das können dann schon alle...)

Gruß,
noRiddle

[keineLustmehr]

Sich schnell mal einen Testshop mit deiner Shopumgebung aufbauen ?
Entwickeln, Einbauen von Erweiterungen, Codeveränderungen bedürfen schon der Möglichkeit diese auch auf Fehlerfreiheit zu prüfen und zu testen.
Das geht nur am Original.

Das ist unverantwortlich! Man entwickelt und testet nicht an einem Live-Shop. Dafür sind Testsysteme da. Wenn bei der Entwicklung was schief geht ist der Shop nicht erreichbar und der Kunde ist der Dumme. Wo ist auch das Problem eine Kopie des Shops zu ziehen und in einem Testsystem zu betrieben (z. B. Xampp oder in einer VM)? Und ja das macht man sogar bei DB's mit mehreren GB. Shop Wawi oder Fibu sind zu wichtig als dass man am offenen Herzen operiert.

[noRiddle (revilonetz)]

Hier geht es doch nicht darum an einem Life-Shop neues zu entwickeln.
Wenn ich jedoch jemandem etwas einbaue, möchte ich auch das Ergebnis sehen und testen können,
schließlich können immer Fehler passieren.

Das heißt doch nicht, daß ich komplette Neuentwicklungen auf eines Kunden-Life-Shop mache.
Wie kommst du darauf ?

Ich kopiere doch nicht jeden Shop in eine Testumgebung, nur weil ich da was einbauen möchte.
(Etwas was natürlich bei Entwicklung bereits auf eigenen Systemen getestet wurde.)
Wer soll denn das bezahlen, daß bei jedem Einbau von Erweiterungen und Modulen der komplette Shop dupliziert wird ?

Außerdem unterstellst du mir doch nicht etwa wirklich was du da insinuiert hast ?
*NACHTRAG*
Du läßt hier Binsenweisheiten vom Stapel die hier überhaupt nicht anwendbar sind.

Gruß,
noRiddle

[keineLustmehr]

Wie ich drauf komme? Weil Du es selbst geschrieben hast ("Entwickeln, Einbauen von Erweiterungen, Codeveränderungen bedürfen schon der Möglichkeit diese auch auf Fehlerfreiheit zu prüfen und zu testen.
Das geht nur am Original.").

Der Shop lauft produktiv und Du testest da drauf weil Du was neues eingebaut hast? Wie man hier jeden Tag lesen kann ist jeder Shop anders (schließlich gibt es keine API) und da kann man nun mal nicht einfach etwas von einem Shop in einen anderen übernehmen ohne vorher genau für diesen Shop getestet zu haben.

Warum das nicht anwendbar sein soll wüßte ich zu gern - Dateien vom Webshop kopieren, DB rücksichern und in 2 Dateien Pfade anpassen. Ist das zuviel? Unpraktikabel? Ich selbst beschäftige mich mehr mit NAV (ERP) und da hatte meine letzte DB zum anpassen 40 GB und auch dafür habe ich ein Testsystem, eben genau, weil jedes System individuell angepaßt ist und anders ist. Man entwickelt und testet an einem oder mehreren Systemen und NIE am Live-System.

[noRiddle (revilonetz)]

...und da kann man nun mal nicht einfach etwas von einem Shop in einen anderen übernehmen ohne vorher genau für diesen Shop getestet zu haben.

"Einfach" etwas übernehmen ?
Ohne Durchblick sollte man es gleich lassen.

Ich verstehe nicht was du hier alles unterstellst.
Willst du dich wichtig machen ?
Willst du dich als perfekten Dienstleister empfehlen ?
Willst du Leute die keine Ahnung haben verückt machen oder verunsichern ?

Jedenfalls verwehre ich mich dagegen, daß du mir hier wiederholt fahrlässiges Handeln unterstellst.

Du darfst auch gerne für jede kleine Änderung die du machen möchtest eine komplette Shopkopie erstellen, wo das einfache Sichern der zu verändernden Datein weit ausreichend ist,
lass mich damit aber bitte in Ruhe und höre auf meine Arbeitsweise als fahrlässig oder unverantwortlich darzustellen.

Wenn du dich an dem von mir u.a. benutzten Wort "Entwickeln" hochziehen möchtest, dann streiche es einfach.

noRiddle

[baustelle]

Riddle, du bist echt manchmal zickig 

Man sollte ja auch bei seinem "Stammdienstleister" bleiben.

Genau - nur so kann Vertrauen wachsen, das mir übrigens genauso wichtig ist wie dir.

So, und jetzt iss Ruhe im Karton, gell.

 
Chris

[keineLustmehr]

...und da kann man nun mal nicht einfach etwas von einem Shop in einen anderen übernehmen ohne vorher genau für diesen Shop getestet zu haben.

"Einfach" etwas übernehmen ?
Ohne Durchblick sollte man es gleich lassen.

Ich verstehe nicht was du hier alles unterstellst.
Willst du dich wichtig machen ?
Willst du dich als perfekten Dienstleister empfehlen ?
Willst du Leute die keine Ahnung haben verückt machen oder verunsichern ?

Jedenfalls verwehre ich mich dagegen, daß du mir hier wiederholt fahrlässiges Handeln unterstellst.

Aua, ich habe den heiligen Dienstleister kritisiert und das war echt böse.

Nein, ich will mich nicht wichtig machen und auch nicht als Dienstleister empfehlen, oder Leute die keine Ahnung haben verrückt machen, aber Sachen in einem Open-Source-Shop ändern, ohne den tatsächlichen Code vorliegen zu haben ist was anderes als wenn man für Word ein Add-In schreibt und ausliefert. Da gibt es vordefinierte API's und auch die Codebasis ist (ziemlich) sicher. Das trifft aber hier auf einen Webshop nicht zu. Du kannst nie sicher sein, dass nicht jemand anderes im Shop Änderungen vorgenommen hat, was dann zu unvorhersehbaren Fehlern führt.

Ich unterstell Dir gar nicht dass Du fahrlässig arbeitest. Es ist meine Meinung, dass dieses Vorgehen fahrlässig ist.