Blizzard meldet illegalen Zugriff auf internes Netzwerk

[JimSim]

Edit: Was ich aber lustig finde ist das sich Leute darüber beschweren das ihre Daten nicht anständig geschützt werden aber immer groß gegen Kopierschutz wettern der sowieso irgendwann geknackt wird.

Das eine hat mit dem anderen doch überhaupt nichts zu tun. Natürlich wird man einen Kopierschutz immer umgehen können, außer die Software läuft ausschließlich auf den Servern des Anbieters. Das hat doch aber nichts mit der Sicherheit von persönlichen Daten zu tun.

Kotick hat bei Blizzard nichts zu sagen, zumindest nichts was in die Spiele eingreift.

Wenn du das glauben willst, bitte. Jedem seine Illusionen. Wenn man sich Koticks reden durchliest muss man aber zu einem anderen Schluss kommen. "Den Inhalt der früher für 50€ verkauft wurde, verkauf ich jetzt für 500€"... Und dann kommt Blizzard auf einmal auf die Idee, in ihre Spiele Marktplätze und Auktionshäuser einzuführen an dem sie kräftig mit verdienen. Ein Spiel wird in drei aufgeteilt, das nächste wird im Beta-Status veröffentlicht etc. Ganz ehrlich. Angenommen Kotick hat nichts mit diesen Entscheidungen direkt zu tun. Was glaubst du hat die Ansage: "Ich will ne größere Gewinnmarge von Blizzard, mehr Geld bekommt ihr aber nicht." für Auswirkungen? Da kann nur an der Produktqualität und Infrastruktur gespart werden. Da ist nichts anderes Möglich. Aber ich hab das Gefühl, diese Diskussion führt zu nichts.

Und gut das so eine Öffentliche Stellungnahme von Blizzard danach kam

Sie haben keine andere Wahl. Blizzard muss per Gesetz so eine öffentliche Stellungsnahme abgeben.

 

[RainbowCrash]

Nach aktuellem Wissensstand reichen diese Daten allein NICHT aus, um sich Zugriff zu einem Battle.net-Account zu verschaffen.

Das sollten die Herren von Blizzard doch wohl am besten wissen?

 

[Research]

Naja, wie lange wird die Verschlüsselung standhalten?

 

[JimSim]

Naja, wie lange wird die Verschlüsselung standhalten?

Hab mir SRP mal angeschaut... im Prinzip ist das ja eine Verschlüsselung à la RSA sprich verschlüsseltes Passwort = passwort ^ x mod n
Solange ausreichend große Primzahlen für n gewählt (irgendwas im Bereich 2^500) wurden dürfte es wahrscheinlich so um nen Jahr pro Passwort dauern... Also möglich für einzelne vlt. sehr interessante Konten, aber für den ganzen Block nicht drin.

 

[kühlprofi]

Weil es praktisch nicht geht. Zusätzlich haben die dauerhaft Personal stationiert die den Netzwerkverkehr überwachen, bei der kleinsten Unregelmäßigkeit wird Alarm in der Bude ausgelöst. Ohne Physikalischen Zugriff wird das kaum was werden, und den zu bekommen... Naja, schwer. Man brauch mind. ne Hand und die passende Chip Karte dafür... evtl noch nen Auge oder den ganzen Kopf.

Selbst physikalischer Zugriff mag nicht ausreichen... Meistens ist der Aufbau so, das du an einem Ort 2 Mainframes stehen hast, die im Duplex laufen und nochmal 2 äquivalente die nen paar 100km entfernt stehen und per Glasfaser verbunden sind. Selbst wenn du einen abschalten musst, weil er komprimiert wurde, hat das praktisch keine Auswirkungen. Außer nen paar Überstunden für den Sys-Admin.


Wahr. Mir ging es aber auch nicht unbedingt darum wer jetzt der super duper Chef ist, sondern wie viel Autonomie Blizzard in seiner Geschäftsausrichtung hat. Die war mit Vivendi alleine deutlich größer, als sie jetzt unter Kotick ist. Aber in der Tat, egal.

Natürlich hätte Blizzard noch ein paar Millionen oder Mia in die Infrastruktur setzten können um auf dem hohen Sicherheitsstandard einer Bank mitzuhalten .. Stimmt ja auch, dass bei Banken solche Hacks selten oder gar nie gehört werden. (weil sie es bemerken und selber korrigieren / vertuschen ? ) Dennoch gibt es gerade bei E-Banking viele Opfer, welche auf die Phiningseiten reinfallen.

Warum gibt es solche News nicht über Ebay, Paypal, Google, Fratzenbuch

Ebay, da gab es schon sehr viele Hacks. Es gab vor 2,3 Jahren eine Doku, da war ein 'Hacker' binnen 1 Minuten mit einem Benutzer seiner Wahl eingeloggt. Paypal Konten werden zu Hauf gehackt. Bei Google hat wohl noch keiner die Suchergebnisse gehackt, Facebook-Accounts werden ebenfalls zu Hauf gehackt - für 100, 200 Euros kannst du dies auf einschlägigen Seiten sogar in Auftrag geben (dauer 7-12 Stunden)
Träum weiter in den Wogen der sicheren Seiten

 

[Gast1675465802]

Das eine hat mit dem anderen doch überhaupt nichts zu tun. Natürlich wird man einen Kopierschutz immer umgehen können, außer die Software läuft ausschließlich auf den Servern des Anbieters. Das hat doch aber nichts mit der Sicherheit von persönlichen Daten zu tun.



Wenn du das glauben willst, bitte. Jedem seine Illusionen. Wenn man sich Koticks reden durchliest muss man aber zu einem anderen Schluss kommen. "Den Inhalt der früher für 50€ verkauft wurde, verkauf ich jetzt für 500€"... Und dann kommt Blizzard auf einmal auf die Idee, in ihre Spiele Marktplätze und Auktionshäuser einzuführen an dem sie kräftig mit verdienen. Ein Spiel wird in drei aufgeteilt, das nächste wird im Beta-Status veröffentlicht etc. Ganz ehrlich. Angenommen Kotick hat nichts mit diesen Entscheidungen direkt zu tun. Was glaubst du hat die Ansage: "Ich will ne größere Gewinnmarge von Blizzard, mehr Geld bekommt ihr aber nicht." für Auswirkungen? Da kann nur an der Produktqualität und Infrastruktur gespart werden. Da ist nichts anderes Möglich. Aber ich hab das Gefühl, diese Diskussion führt zu nichts.

Das hat sehr wohl was damit zu tun, denn viele sind der Auffassung ihre Daten werden nicht anständig geschützt. Blizzard kam nicht mit der Idee sie mussten es einführen, weil es ohnehin zu Diablo 2 Zeiten Leute gab die dafür bezahlt haben und andere damit reich wurden. Das nicht zu machen wäre Schwachsinn gewesen, das hat garnichts mit Kotick zu tun. Blizzards Spiele kosten außerdem 45-50 Euro und nicht 60.

 

[JimSim]

Natürlich hätte Blizzard noch ein paar Millionen oder Mia in die Infrastruktur setzten können um auf dem hohen Sicherheitsstandard einer Bank mitzuhalten .. Stimmt ja auch, dass bei Banken solche Hacks selten oder gar nie gehört werden. (weil sie es bemerken und selber korrigieren / vertuschen ? ) Dennoch gibt es gerade bei E-Banking viele Opfer, welche auf die Phiningseiten reinfallen.

Nun ja, wenn man einen Service betreiben will der sensible Daten und Geld zum Inhalt hat, muss man sich auch sicher sein, das man die Daten auch sicher verwahren kann. Wenn man dazu nicht in der Lage ist, sei es, weil die finanziellen Mittel oder das Know-How nicht da sind, dann kann man so einen Service eben nicht anbieten. So einfach ist das. Ich bin mir bewusst das, gerade in der IT, Technik gerne eingesetzt wird ohne sich aller Probleme die damit einhergehen bewusst zu sein, aber das ist einfach keine Entschuldigung. Biete ich so einen Dienst an, muss ich mir sicher sein, das ich damit zurecht komme. Es zwingt Blizzard ja keiner diese ganzen Daten zu erheben. Sie wollen diese Daten haben (zum einen als Kopierschutz, zum anderen zum Auswerten...), also müssen sie diese auch sicher verwahren. Können sie das nicht, müssen sie eben darauf verzichten. Wollen sie nicht, ist klar...

Was den Phishing kram angeht... Gut, das sind natürlich externe Probleme, genauso wie social engineering, da kann man schwer was gegen machen. Aber wenn es einen oder auch zehn durch solche Sachen erwischt, ist das immer noch tausendmal besser, als wenn die ganze Datenbank runtergeladen wird.

Tja und die lieben Banken... Möglich das sie sowas einfach vertuschen... Per Gesetz sind sie dazu verpflichtet eingriffe in die Datenbank schnellst möglich öffentlich zu machen. Aber Gesetze und Banken... das ist so ne Sache. Trotzdem tendiere ich eher dazu das Banken einfach sicher sind. Ich hatte neulich einen getroffen der im IT-Bereich von ner Bank arbeitet und das was er mir erzählt hat, klang eigentlich ganz überzeugend. Aber ja, image ist für ne Bank äußerst wichtig, die Versuchung, sollte so etwas passieren, das zu vertuschen, ist damit natürlich groß.

Ebay, da gab es schon sehr viele Hacks. Es gab vor 2,3 Jahren eine Doku, da war ein 'Hacker' binnen 1 Minuten mit einem Benutzer seiner Wahl eingeloggt. Paypal Konten werden zu Hauf gehackt. Bei Google hat wohl noch keiner die Suchergebnisse gehackt, Facebook-Accounts werden ebenfalls zu Hauf gehackt - für 100, 200 Euros kannst du dies auf einschlägigen Seiten sogar in Auftrag geben (dauer 7-12 Stunden)
Träum weiter in den Wogen der sicheren Seiten

Jo, Ebay ist kein gutes Beispiel... Paypal ist auch so ne Sache. Facebook- und Google-Accounts werden jedoch soweit ich weiß nicht durch interne Sicherheitslücken gehackt, sondern durch social-engineering oder Trojaner/Keylogger/erbeutete Daten von anderen Webseiten. Das kann man denen nicht in die Schuhe schieben (vielleicht höchstens ein ganz kleines bisschen...) Wobei Facebook ja auch so genug Infos über nen Nutzer preis gibt...

Das hat sehr wohl was damit zu tun, denn viele sind der Auffassung ihre Daten werden nicht anständig geschützt. Blizzard kam nicht mit der Idee sie mussten es einführen, weil es ohnehin zu Diablo 2 Zeiten Leute gab die dafür bezahlt haben und andere damit reich wurden. Das nicht zu machen wäre Schwachsinn gewesen, das hat garnichts mit Kotick zu tun. Blizzards Spiele kosten außerdem 45-50 Euro und nicht 60.

Hä? Aber Nachts ist doch kälter als draußen?

 

[kühlprofi]

Nun ja, wenn man einen Service betreiben will der sensible Daten und Geld zum Inhalt hat, muss man sich auch sicher sein, das man die Daten auch sicher verwahren kann. Wenn man dazu nicht in der Lage ist, sei es, weil die finanziellen Mittel oder das Know-How nicht da sind, dann kann man so einen Service eben nicht anbieten. So einfach ist das. Ich bin mir bewusst das, gerade in der IT, Technik gerne eingesetzt wird ohne sich aller Probleme die damit einhergehen bewusst zu sein, aber das ist einfach keine Entschuldigung. Biete ich so einen Dienst an, muss ich mir sicher sein, das ich damit zurecht komme. Es zwingt Blizzard ja keiner diese ganzen Daten zu erheben. Sie wollen diese Daten haben (zum einen als Kopierschutz, zum anderen zum Auswerten...), also müssen sie diese auch sicher verwahren. Können sie das nicht, müssen sie eben darauf verzichten. Wollen sie nicht, ist klar...

Was den Phishing kram angeht... Gut, das sind natürlich externe Probleme, genauso wie social engineering, da kann man schwer was gegen machen. Aber wenn es einen oder auch zehn durch solche Sachen erwischt, ist das immer noch tausendmal besser, als wenn die ganze Datenbank runtergeladen wird.

Tja und die lieben Banken... Möglich das sie sowas einfach vertuschen... Per Gesetz sind sie dazu verpflichtet eingriffe in die Datenbank schnellst möglich öffentlich zu machen. Aber Gesetze und Banken... das ist so ne Sache. Trotzdem tendiere ich eher dazu das Banken einfach sicher sind. Ich hatte neulich einen getroffen der im IT-Bereich von ner Bank arbeitet und das was er mir erzählt hat, klang eigentlich ganz überzeugend. Aber ja, image ist für ne Bank äußerst wichtig, die Versuchung, sollte so etwas passieren, das zu vertuschen, ist damit natürlich groß.



Jo, Ebay ist kein gutes Beispiel... Paypal ist auch so ne Sache. Facebook- und Google-Accounts werden jedoch soweit ich weiß nicht durch interne Sicherheitslücken gehackt, sondern durch social-engineering oder Trojaner/Keylogger/erbeutete Daten von anderen Webseiten. Das kann man denen nicht in die Schuhe schieben (vielleicht höchstens ein ganz kleines bisschen...) Wobei Facebook ja auch so genug Infos über nen Nutzer preis gibt...



Hä? Aber Nachts ist doch kälter als draußen?

In sehr vielen Punkten und Argumenten von dir stimme ich zu.
Bei den Facebook und Google-Accounts wäre ich jedoch nicht allzu optimistisch . Hatte nicht gerade z.B. Hotmail bis vor ein paar Monaten / Wochen eine kritische Sicherheitslücke gestopft? Ein Fehler bei der Prozedur zum zurücksetzten eines PW's odr ähnlich konnte doch dazu augenutzt werden jedem beliebigen Account ein neues PW zu setzen. Ich möchte damit nur aufzeigen, dass sich auch bei den ganz Grossen fatale Fehler einschleichen.


Edit: Artikel wieder gefunden..

Microsoft hat neulich eine schwere Sicherheitslücke bei seinem Hotmail-Dienst geschlossen.
Mit Hilfe der Lücke konnte man beliebige Hotmail-Accounts übernehmen. Dazu musste lediglich die Zurücksetzung des Passworts auf der Hotmail-Webseite beantragt werden. Nach Beantragung dieses Password-Resets wird eine E-Mail mit einem Token an den Account-Inhaber gesendet. Mit Hilfe dieses Tokens kann man nun das Passwort auf der Hotmail-Seite zurücksetzen.
Allerdings ist Microsoft ein peinlicher Fehler unterlaufen, so konnte bis vergangenen Samstag das Passwort auch ohne diesen Sicherheitstoken geändert werden. Hotmail prüfte zwar, ob ein Token übermittelt wurde, allerdings nicht, ob dies der passende Token ist. Deswegen reichte es als Token z.B. “+++)-” anzugeben. Danach bekamen die Hacker die Möglichkeit das Passwort zu ändern und so den Account zu übernehmen.
In einschlägigen Hackerforen wurden mit Hilfe dieser Sicherheitslücke Hotmail-Accounts für ca. 20 Dollar verkauft. Gründe für den Kauf könnte zum Beispiel Neugierde oder eine besonders attraktive kurze E-Mailadresse wie tp@hotmail.com gewesen sein.
Die Sicherheitslücke wurde von Microsoft mittlerweile behoben. Folgt man allerdings dem Gerücht vom whitec0de -Blog, so existiert eine weitere, noch geheime Sicherheitslücke im Hotmail-Dienst.

Quelle: Hotmail: Peinliche*Sicherheitspanne • TomSec