Steam: Exploit ermöglichte beliebige Guthabenaufladung

[zerogott]

Steam und Exploits gehen Hand in Hand- Hier nur eines von vielen Videos das auf dem Spiffing Briot Channel zu finden ist. Witere Empfehlung ist die Sache mit den Microsoft Keys auf den Pringles-Dosen. Also nicht innen, sondern außen auf der Unterseite. Smartphonebild + Supermarkt = Microsoft Game Subscription für lau und andere Scherze.



Aber was ist mit Cheatern?



Nicht zu vergessen wie aktuelle Generation von Hardware Cheats, die der Hersteller gar nicht finden kann indem er nach Software scant



Inzwischen auf für Konsole verfügbar, also gg.



Solange die Firmen die Kohle einstreichen ist es ihnen egal wie kaputt ihre Onlineshops und Spiele sind. Gemacht wird erst etwas, wenn der Spieler den BS vom Anti-Cheat nicht mehr glauben und wegbleiben. Der Onlineshooter der Zukunft sollte alle Cheats gleich mit drin haben und jeder weiß es. Cheater gegen Cheater, keiner spielt fair.

"Aktuelle generation von Hardware cheats"
Sowas ist nicht neu. Kannst dir ja mal angucken was DMA ist, wird für external Hardware based hacks unteranderem verwendet.
ESA post dazu https://blog.esea.net/esea-hardware-cheats/
Mit sowas hat nicht nur Valve probleme sondern jeder andere auch.

 

[RyzA]

"Menge100" weder auf deutsch noch auf englisch würd ich mir das in meine Email-Adresse packen... ich hab einfach zu wenig krimminelle Energie für diese Welt.

Da wäre ich auch im Leben nicht drauf gekommen.

Schön das der Mann die Sicherheitslücke ordnungsgemäß gemeldet hat. Die Belohnung finde ich allerdings auch bescheiden. Vor allem wenn man bedenkt was für ein Schaden hätte entstehen können.

 

[Eyren]

Naja aber in welcher Höhe wäre eine Belohnung denn angebracht?

7500€ ?
75000€ ?
750000€ ?

Oder doch gleich zum Millionär machen?

Ich finde 7500€ eine sehr großzügige Zahlung. Entspricht mehreren Monatsgehältern.

Und nein für mich steigt der Wert einer Belohnung nicht mit dem Vermögen des Belohnenden.

Ayo und wenn für einige hier sich Gesetzestreues handeln nur lohnt wenn der Profit höher als bei kriminellen Handlungen ist.... dann sehe ich wahrlich schwarz für unsere Zukunft und werde bevor ich ins Bett gehe dafür beten das ihr niemanden habt dem ihr euren moralischen kompass weitergeben könnt.

 

[RyzA]

Und nein für mich steigt der Wert einer Belohnung nicht mit dem Vermögen des Belohnenden.

Wieso? Steht im Artikel wie vermögend er ist? Muß ich wohl überlesen haben.

 

[Freakless08]

Für mich hört sich das eher nach einer Lücke bei Smart2Pay an und nicht bei Valve.
Smart2Pay macht nämlich die Abrechnung und gibt dann Valve weiter, dass Guthaben gekauft wurde, allerdings mit einem falschen Betrag und Valve verlangt natürlich das Geld gutgeschriebene Guthaben von Smart2Pay.

 

[Eyren]

Wieso? Steht im Artikel wie vermögend er ist? Muß ich wohl überlesen haben.

In dem Fall meine ich Valve als denjenigen der belohnt. Da ist es egal ob die nun 2millionen haben oder 200millionen, danach darf man die Höhe der Belohnung nicht festmachen.

 

[RyzA]

In dem Fall meine ich Valve als denjenigen der belohnt. Da ist es egal ob die nun 2millionen haben oder 200millionen, danach darf man die Höhe der Belohnung nicht festmachen.

Ach so meintest du das. Naja, Valve hat nicht nur 200 Millionen sondern Milliarden. Ich finde schon das der Finderlohn bei so einer signifikanten Sicherheitslücke hätte höher sein können.

 

[KaneTM]

Ach so meintest du das. Naja, Valve hat nicht nur 200 Millionen sondern Milliarden. Ich finde schon das der Finderlohn bei so einer signifikanten Sicherheitslücke hätte höher sein können.

Ist schon ziemlich lächerlich der Betrag. Apple hat letztes Jahr seine Obergrenze von 200.000 $ auf 1.000.000 $ erhöht - sechsstellige Beträge sind überhaupt keine Seltenheit in dieser Richtung. Und wir reden hier von einem Bug, der Steam hätte zahllose Millionen kosten können.

 

[Prypjat_no1]

Wenn du dir auf HackerOne mal angesehen hättest, was andere (namhafte) Firmen so an Prämien zahlen, wäre dir aufgefallen, dass die Zahlungen von Valve dazu im Vergleich ziemlich großzügig sind...

Immer diese platten Wortbausätze, die dem Gesprächsteilnehmer gleich die eigene Überlegenheit demonstrieren soll. "... wenn du dir"
"... dann wäre dir aufgefallen"
Geht es nicht mehr ohne?

Du hättest auch schreiben können, dass ich mal bei HackerOne reinschauen soll. Valve zahlt gegenüber anderen Firmen ziemlich großzügig.

Stattdessen zeigst Du mir Deine Überlegenheit, weil Du weißt was andere Firmen zahlen und ich nicht.
Aber weißt Du was? Das muss ich auch nicht. Es war nicht Gegenstand der Diskussion was andere Firmen zahlen.
Es ging darum, dass Valve für eine Lücke die Millionen gekostet hätte, nur 7500,00 aus der Portokasse übrig hatte.

Naja aber in welcher Höhe wäre eine Belohnung denn angebracht?

7500€ ?
75000€ ?
750000€ ?

Oder doch gleich zum Millionär machen?

Wie wäre eine Bemessung ähnlich wie beim Finderlohn?

Ich finde 7500€ eine sehr großzügige Zahlung. Entspricht mehreren Monatsgehältern.

7500 Euro sind für viele Menschen eine Menge Geld, mich mit eingeschlossen, aber dennoch ist es bemessen an der Wirtschaftlichkeit von Valve und der vermutlichen Höhe des Schadens ein Witz.
Der Entdecker hätte sich ja nicht die Mühe machen müssen, diese Lücke zu finden, geschweige denn diese zu melden. Da hätte Valve richtig viel Kohle verlieren können. Und mit 7500€ zündet sich Gabe seine Zigarren an und lacht.

Und nein für mich steigt der Wert einer Belohnung nicht mit dem Vermögen des Belohnenden.

Stand das irgendwo? Muss ich überlesen haben.

Ayo und wenn für einige hier sich Gesetzestreues handeln nur lohnt wenn der Profit höher als bei kriminellen Handlungen ist.... dann sehe ich wahrlich schwarz für unsere Zukunft und werde bevor ich ins Bett gehe dafür beten das ihr niemanden habt dem ihr euren moralischen kompass weitergeben könnt.

Du bist der Beste! Gegen Dich ist Mutter Theresa der Teufel und Gandi ein Kriegstreiber.
Danke das Du für unsere verkommenen Seelen betest, oh Heiland.

 

[Eyren]

Immer diese platten Wortbausätze, die dem Gesprächsteilnehmer gleich die eigene Überlegenheit demonstrieren soll. "... wenn du dir"
"... dann wäre dir aufgefallen"
Geht es nicht mehr ohne?

Du hättest auch schreiben können, dass ich mal bei HackerOne reinschauen soll. Valve zahlt gegenüber anderen Firmen ziemlich großzügig.

Stattdessen zeigst Du mir Deine Überlegenheit, weil Du weißt was andere Firmen zahlen und ich nicht.
Aber weißt Du was? Das muss ich auch nicht. Es war nicht Gegenstand der Diskussion was andere Firmen zahlen.
Es ging darum, dass Valve für eine Lücke die Millionen gekostet hätte, nur 7500,00 aus der Portokasse übrig hatte.


Wie wäre eine Bemessung ähnlich wie beim Finderlohn?



1.7500 Euro sind für viele Menschen eine Menge Geld, mich mit eingeschlossen, aber dennoch ist es bemessen an der Wirtschaftlichkeit von Valve und der vermutlichen Höhe des Schadens ein Witz.
Der Entdecker hätte sich ja nicht die Mühe machen müssen, diese Lücke zu finden, geschweige denn diese zu melden. Da hätte Valve richtig viel Kohle verlieren können. Und mit 7500€ zündet sich Gabe seine Zigarren an und lacht.



2.Stand das irgendwo? Muss ich überlesen haben.



3.Du bist der Beste! Gegen Dich ist Mutter Theresa der Teufel und Gandi ein Kriegstreiber.
Danke das Du für unsere verkommenen Seelen betest, oh Heiland.

Zu 1. Selbst wenn der Kollege Gabe sich mit 7500€ seine Zigaretten anzündet, wer sagt das es für das melden eines Fehlers überhaupt Geld geben muss?

Ich verstehe dieses Denken einfach nicht. Wenn ich etwas finde gebe ich das bei Polizei/Fundbüro ab.

Ich verlange nicht extra eine Bezahlung dafür.

zu 2. Nun sind doch einige die 7500€ zu wenig finden mit der Begründung Valve habe genug Geld. Du selber schlägst ein System wie beim Finderlohn vor. Also ja einige finden das die Höhe der Belohnung sich am Vermögen des Gebers orientieren sollte.

3. Bei dir hilft wohl auch beten nicht mehr. Ein Heiliger bin ich wohl nicht aber ein Mindestmaß an sozialen Verhalten wurde mir mitgegeben. Geld ist halt nicht alles für mich. Da ist mir ehrliches gesetzestreues Verhalten wichtiger als die schnelle Mark nebenbei.

 

[Prypjat_no1]

Zu 1. Selbst wenn der Kollege Gabe sich mit 7500€ seine Zigaretten anzündet, wer sagt das es für das melden eines Fehlers überhaupt Geld geben muss?

Weil es sich so gehört, wenn sich jemand die Mühe macht eine solche Lücke aufzuspühren.
Da stolpert man nicht einfach drüber. Das ist Arbeit und Arbeit muss vergütet werden.

Ich verstehe dieses Denken einfach nicht. Wenn ich etwas finde gebe ich das bei Polizei/Fundbüro ab.

Das machst Du, dass mach ich und das machen viele Menschen, aber einen Exploit im Fundbüro oder bei der Polizei abgeben?

Ich verlange nicht extra eine Bezahlung dafür.

Würde ich auch nicht, auch wenn es eine Gesetzliche Grundlage dafür gibt.
Ich weiß wie es ist etwas verloren zu haben und da freut man sich über jede ehrliche Haut.
Aber das sind zwei verschiedene Dinge von denen wir hier sprechen, daher greift das Argument nur schwerlich.

zu 2. Nun sind doch einige die 7500€ zu wenig finden mit der Begründung Valve habe genug Geld. Du selber schlägst ein System wie beim Finderlohn vor. Also ja einige finden das die Höhe der Belohnung sich am Vermögen des Gebers orientieren sollte.

Was soll mir diese Auflistung jetzt sagen? Du hast jetzt die Fakten aus dem Forum zusammengetragen, aber dich nicht weiter dazu geäußert.

3. Bei dir hilft wohl auch beten nicht mehr. Ein Heiliger bin ich wohl nicht aber ein Mindestmaß an sozialen Verhalten wurde mir mitgegeben. Geld ist halt nicht alles für mich. Da ist mir ehrliches gesetzestreues Verhalten wichtiger als die schnelle Mark nebenbei.

Geld ist für mich auch nur ein notwendiges Übel und ich bin nicht egoistisch erzogen worden, weshalb es mich wohl auch mehr stört, dass der Entdecker nur ein paar Kröten für seine Arbeit bekommen hat, als es bei Dir der Fall ist.
Es könnte mir ja egal sein, aber ich finde es nicht fair von Valve. Wenn Du das anders siehst, dann kannst Du das tun.

Wenn Du mich aufgibst und nicht für mich beten möchtest, dann bist Du wohl doch nur ein ganz normaler Mensch wie jeder andere hier auch. Glückwunsch!

 

[Blackvoodoo]

Schade das ich das nicht entdeckt habe. Meinem Konto würden 7500€ gut tun, das ist aktuell durch den Umzug und neukauf von Einrichtung arg geschrumpft.

 

[Eyren]

Weil es sich so gehört, wenn sich jemand die Mühe macht eine solche Lücke aufzuspühren.
Da stolpert man nicht einfach drüber. Das ist Arbeit und Arbeit muss vergütet werden.



Das machst Du, dass mach ich und das machen viele Menschen, aber einen Exploit im Fundbüro oder bei der Polizei abgeben?



Würde ich auch nicht, auch wenn es eine Gesetzliche Grundlage dafür gibt.
Ich weiß wie es ist etwas verloren zu haben und da freut man sich über jede ehrliche Haut.
Aber das sind zwei verschiedene Dinge von denen wir hier sprechen, daher greift das Argument nur schwerlich.



Was soll mir diese Auflistung jetzt sagen? Du hast jetzt die Fakten aus dem Forum zusammengetragen, aber dich nicht weiter dazu geäußert.



Geld ist für mich auch nur ein notwendiges Übel und ich bin nicht egoistisch erzogen worden, weshalb es mich wohl auch mehr stört, dass der Entdecker nur ein paar Kröten für seine Arbeit bekommen hat, als es bei Dir der Fall ist.
Es könnte mir ja egal sein, aber ich finde es nicht fair von Valve. Wenn Du das anders siehst, dann kannst Du das tun.

Wenn Du mich aufgibst und nicht für mich beten möchtest, dann bist Du wohl doch nur ein ganz normaler Mensch wie jeder andere hier auch. Glückwunsch!

Es ist Arbeit? Ja ist es wohl. Hat Valve darum gebeten?

Wenn ja dann hast du vollkommen recht es muss anständig bezahlt werden.
Wenn nein, gib mir doch bitte deine Adresse damit ich ein wenig deine Hauselektrik machen kann. Hast mich zwar nicht drum gebeten aber ich mache die Arbeit also bezahl auch angemessen.

Bitte leg doch nicht jedes Wort auf die Goldwaage. Das man einen Exploit nicht bei der örtlichen Polizei oder Fundbüro abgibt sollte klar sein.
Das melden eines Fehlers/Exploit gehört für mich dennoch zum selbstverständliche Handeln ist also für mich gleich zusetzen mit einem Fund von Wertsachen.

Ich sagte das die Höhe der Belohnung sich nicht nach dem Reichtum desjenigen richten sollte dem geholfen wurde.

Du fragst ob das irgendwo stand.

Ich sage dir ja es wurde impliziert da 7500€ bei einem Milliardenunternehmen als zu gering angesehen wird.

Was soll ich noch erläutern?

 

[RyzA]

Es ist Arbeit? Ja ist es wohl. Hat Valve darum gebeten?

Die sollten eher dankbarer sein, dass sich jemand die Arbeit gemacht hat um die Lücke offenzulegen.
Nur darum geht es.

 

[Eyren]

Die sollten eher dankbarer sein, dass sich jemand die Arbeit gemacht hat um die Lücke offenzulegen.
Nur darum geht es.

Dankbar waren sie doch. Haben aus Dankbarkeit eine freiwillige Zahlung geleistet und so vermute ich auch das Wort "Danke" in irgendeiner Form genutzt.

Ab welchem Punkt ist jemand denn "dankbarer" ?

1% vom Brutto Jahreseinkommen?
10% vom Brutto Jahreseinkommen?
59,7% vom Brutto Jahreseinkommen?

Wenn ich dir beim Reifenwechsel helfe bist du dann dankbar genug wenn du danke sagst?
Oder doch erst ausreichend wenn du mich zum essen einlädst?
Muss es ein persönliches Essen im Kreise der Familie sein?
Reicht ein Restaurantbesuch?
Oder muss es doch eine Zahlung in Höhe von x% deines Vermögens sein?

Ich finde es einfach falsch jemandem die Dankbarkeit ab zusprechen weil die freiwillige Zahlung nicht der persönlichen Vorstellung entspricht.

Valve hat keinerlei Forderung gestellt alles was der Exploitfinder getan hat geschah freiwillig, als Hobby oder in der Absicht Profit zu machen.

Ebenso liegt es im ermessen von Valve ob und in welcher Höhe eine Zahlung als dank erfolgt.

Was mich halt massiv stört ist der Tenor einiger: "bei dem geringen Lohn lieber illegal verkaufen. "

Drogenhandel insbesondere an Schüler bringt mehr €/Std. Als jeder Handwerksberuf. Wozu noch arbeiten gehen, geht doch auch leichter.

 

[RyzA]

100000 Dollar wäre ok gewesen!

 

[Freakless08]

Immerhin gab es Geld. Die CDU verklagt die Leute, welche eine Lücke in ihrer Software finden

CDU-Connect-App: Danke für den Hinweis, Anzeige ist raus

Eine IT-Forscherin hat der CDU eine Schwachstelle in ihrer Connect-App gemeldet. Und die Partei? Zeigt sie an. Der Fall zeigt das rechtliche Dilemma ethischer Hacker.

www.zeit.de

https://www.sueddeutsche.de/politik/cdu-connect-anzeige-wittmann-1.5373488

 

[RyzA]

Die CDU verklagt die Leute, welche eine Lücke in ihrer Software finden.

Und hat die Anzeige auch wieder zurückgezogen. Und sich entschuldigt.
Das war sehr peinlich für die CDU.

 

[Gast1692738601]

Wirklich ein Wunder, das der jenige überhaupt eine Belohung bekommen hat. Diese Profitgeier in der Spielbranche geben doch normalerweise einen Deu um treue und ehrliche Kundenschaft. 7500 Dollar ist bei weitem zu wenig, wenn man den Schaden bedenkt, den die Sicherheitslücke anrichten hätte können.

Daumen hoch für die Ehrlichkeit des User.

 

[Freakless08]

Und hat die Anzeige auch wieder zurückgezogen. Und sich entschuldigt.
Das war sehr peinlich für die CDU.

Trotzdem läuft das Strafverfahren/Ermittlung weiter, auch wenn die Anzeige zurückgezogen wurde.