News Blizzards Battle.net wurde gehackt

[LinuxMcBook]

Wenn du jeden Account vorm Versand von Newslettern (oder so einer Hack-Ankündigung wie jetzt) erst dekodieren musst, dann wars das. Da kostet das RICHTIG Rechenzeit.

Reden wir hier eigentlich über verschlüsselte oder gehashte Passwörter? Im ersten Fall kann man die Passwörter mit dem richtigen Schlüssel sofort entschlüsseln, im zweiten Fall hat per Definition nie eine Verschlüsselung stattgefunden.
Wird leider immer wieder, wenn jemand gehackt wurde, durcheinander gebracht.

 

[Creeed]

Wie kommst du da drauf?
Das Teil hat ungefähr 1-2€ Gesammtkosten inkl. Lieferung aus China (Hoppla, China nicht gehackt und stellt die her? die Schlingel)
Blizzard kauft ja auch nicht nur einen, sondern ein paar hunderttausend.
Die bezahlen dafür maximal 2-3€ für, hab lange genug in der Industrieelektronic gearbeitet und weis dementsprechend was was kostet.

Die beziehen die Teile ganz sicher nicht über irgendeinen Großhandel und mit minus werden die den sicher nicht verticken.

Im übrigen hat mein alter Auth auch 8 und keine 6 Ziffern!
Genau wie der von Swtor.

Du vergisst dass hier beim Kauf nicht nur die Kosten für die reine Hardware anfallen sondern auch noch Kosten für Lizenzen die sich Vasco bezahlen lässt. Blizzard muss auch einiges an Lizenzgebühren für den Server der das ganze System verwaltet löhnen. Das sind alles Kosten die in diese Teile eingepreist werden müssen. Eine klassische kaufmännische Kalkulation eben. Übrigens ist es nicht unüblich gerade bei solchen Sachen ohne Gewinn oder sogar mit einem kalkulierten Verlust zu arbeiten. Wenn der Kunde dadurch ein Gefühl der Sicherheit bekommt ist ein Verlust tragbar da der Kunde weiterhin die Produkte der Firma konsumieren wird und zwar länger als wie wenn er nicht das Gefühl der Sicherheit hat. Damit führt man eine Kundenbindung aus die die Verluste mehr als nur amortisiert.

 

[Luxuspur]

schon klar das die nicht nur den reinen Herstellungspreis haben ... bezog sich auch darauf das die beim Authenticator Verlust machen ... und das ganz sicher nicht!

Und auch im Groß/Einzelhandel ist noch ne gute Gewinnspanne dabei, darauf kannst du einen lassen!

 

[Creeed]

Ich kenne die Gewinmargen gut genug, hab lange genug mit dem Gewerbe gearbeitet. Aber ich bin mir ziemlich sicher dass Blizz mit den 10€ ziemlich null auf null kalkuliert. die 12 € sind bei Abnahme von 10.000 Stück wenn ich die Preisliste richtig im Kopf habe. Bei 100.000 kommen wir vielleicht auf 7-8€ aber sicherlich nicht tiefer.

 

[NuminousDestiny]

Dann könnte man keine mehr verschicken und z.b. keine PW-Recovery machen.

Ich meinte, dass die für die Anmeldung benutzten Emails in den Firmeneigenen DB verschlüsselt werden. Selbstverständlich wird der Nutzer diese immer wieder zur Anmeldung eingeben und alles was verschlüsselt ist lässt sich auch entschlüsseln....

Stichwort Newsletter. Wenn du jeden Account vorm Versand von Newslettern (oder so einer Hack-Ankündigung wie jetzt) erst dekodieren musst, dann wars das. Da kostet das RICHTIG Rechenzeit.

Halte ich für unfug. Die Komplexität einen Code mit einem Schlüssel zu entschlüsseln geht, wenn ich mich richtig erinnere in 0(n) Laufzeit, wobei n die Länge des Schlüsselwortes ist.
Demnach eigentlich geschenkt.
Das setzt natürlich vorraus, dass man das Schlüsselwort auch schützt und wenn ein Publisher mal solch eine Welle versenden muss, dann werden die X Minuten auch nicht ins Gewicht fallen.

 

[DasBoeseLebt]

Ich meinte, dass die für die Anmeldung benutzten Emails in den Firmeneigenen DB verschlüsselt werden. Selbstverständlich wird der Nutzer diese immer wieder zur Anmeldung eingeben und alles was verschlüsselt ist lässt sich auch entschlüsseln....

Das Problem liegt hier aber wieder darin, dass verschlüsselte Mailadressen nicht benutzt werden können für Recovery, Newsletter etc.

Wenn du sie auch ohne das zutun des Benutzers verwenden willst (d.h. intern entschlüsseln), dann brauchst du den Key und wenn du den mitspeicherst, dann wird die Sache wieder hinfällig und macht keinen Sinn außer Strom zu verschwenden (in Form von Rechenzeit)

 

[Bad Horse]

Kann es sein das Blizzard die Passwortlaenge vor kurzem auf 16 Zeichen begrenzt hat?
Denn mein altes Passwort hatte mehr als 16 Zeichen...

 

[GuruBT]

hier sind also die Nachrichten. Solche Arschgeigen vor ner Woche wurde mein battlenet account gehackt und mein WoW account von irgend solchen kröten benutzt so das er gebannt wurde. war mir eh wurscht weil ich keinen bock mehr auf das game hab aber hab halt nen ticker an die admins geschrieben. und der hat mir zurück geschrieben das auf jeden fall mein pc gehackt wurde. Antwort von mir: Mein PC ist clean und ich kenn mich wirklich damit aus. Antwort von dem Admin: Niemals unser System kann man nicht Hacken und wenn dann würde es schon längst in News stehen.

Na ja hab jetzt gerade nochmal zurück geschrieben bin mal echt gespannt was der Kerl nun dazu sagt??

 

[chris233]

Wir haben diesen Zugriff sofort eingefroren und begonnen, zusammen mit den Behörden und Sicherheitsexperten zu ermitteln, was vorgefallen ist...

Also NSA/CIA sind an der Sache dran. Da können die Script-kiddies damit rechnen dass nen Blackhawk im elterlichen Garten landet... Geschieht ihnen recht

 

[Creeed]

Kann es sein das Blizzard die Passwortlaenge vor kurzem auf 16 Zeichen begrenzt hat?
Denn mein altes Passwort hatte mehr als 16 Zeichen...

Hmm, als ich mit WoW angefangen habe waren das schon 16 Zeichen.Wenn also mindestens 6 Jahre für dich vor Kurzem waren.

 

[Euphoria]

Tja entgegen der Meldungen gab es in letzten Wochen einige Meldungen über gehackte Accounts.
Wenn man bedenkt, dass teilweise Authentificator Daten betroffen sind, könnte man diesen aushebeln, womit Sicherheit gar nicht gegeben wäre. Wenn dabei für diesen bezahlt wurde, ist es doppelt so ärgerlich.

 

[NuminousDestiny]

...dann brauchst du den Key und wenn du den mitspeicherst, dann wird die Sache wieder hinfällig und macht keinen Sinn außer Strom zu verschwenden (in Form von Rechenzeit)

Genau das ist doch der Sinn, dass der Key nicht dort liegt, wo die Daten gespeichert sind. Am besten offline in Form eines Tokens oder soetwas. Selbstverständlich braucht die Firma diesen und nicht der User.
Dadurch wird eine nicht unerhebliche Sicherheitsstufe in ein System eingebaut, das wie man ja in letzter Zeit sieht alles andere als schwer zu knacken ist.
Offline = Sicher, sonst nichts!

 

[Creeed]

Also weil vor ein paar Wochen angeblich Accounts gehackt wurden ist jetzt der Einbruch in die Datenbank letzte Woche daran schuld. Die Logik muss du mir mal erklären. Meinst du vielleicht die angeblichen Hacks die über Phishing abgegriffen wurden und dann später in den Foren geweint wurde weil angeblich das Token gehackt wurde?

 

[Daaron]

Genau das ist doch der Sinn, dass der Key nicht dort liegt, wo die Daten gespeichert sind. Am besten offline in Form eines Tokens oder soetwas. Selbstverständlich braucht die Firma diesen und nicht der User.

Ja, und genau so eine Herangehensweise funktioniert nicht. Du MUSST deinen Key irgendwo digital lagern... und zwar nicht nur auf nem USB-Stick im Safe des Chefs. Nein. Der Key muss für deine eigene Software LESBAR gelagert werden, und zwar vollautomatisch lesbar. Du musst die Mailadresse (als Beispiel) spätestens dann vollautomatisch entschlüsseln können, wenn der User mal wieder sein PW verlegt hat und n neues anfordert.

 

[NuminousDestiny]

@Creeed

Selbstverständlich beziehe ich meine Aussage auf das generelle Verhalten der Firmen, nicht auf den Blizzard Fall. Ich meine hierbei ein eindringen in das interene System, wie es in letzter Zeit X mal stattgefunden hat. Und hierbei wurde ja definitiv auf DBs zugegriffen.

@Daaron

Für ein PW-Recovery funktioniert ein Token natürlich nicht. Aber du denkst zu kurzsichtig. Es soll ja lediglich eine weitere Stufe sein, um die User mehr zu schützen. Die derzeitige Konstellationen sind ja nahezu gar nicht geschützt.
Wenn der Key digital gespeichert werden muss, muss das ja lange noch nicht in der gleichen DB gemacht werden, was eine Stufe ist, die es zusätzlich zu überwinden gilt.
Es ist ein Ansatz um die Sicherheit zu erhöhen, selbstverständlich nur ein Ansatz und keine vollständige Lösung, aber definitiv machbar!

 

[Degathul]

Du vergisst dass hier beim Kauf nicht nur die Kosten für die reine Hardware anfallen sondern auch noch Kosten für Lizenzen die sich Vasco bezahlen lässt. Blizzard muss auch einiges an Lizenzgebühren für den Server der das ganze System verwaltet löhnen. Das sind alles Kosten die in diese Teile eingepreist werden müssen. Eine klassische kaufmännische Kalkulation eben. Übrigens ist es nicht unüblich gerade bei solchen Sachen ohne Gewinn oder sogar mit einem kalkulierten Verlust zu arbeiten. Wenn der Kunde dadurch ein Gefühl der Sicherheit bekommt ist ein Verlust tragbar da der Kunde weiterhin die Produkte der Firma konsumieren wird und zwar länger als wie wenn er nicht das Gefühl der Sicherheit hat. Damit führt man eine Kundenbindung aus die die Verluste mehr als nur amortisiert.

Ich kenne die Gewinmargen gut genug, hab lange genug mit dem Gewerbe gearbeitet. Aber ich bin mir ziemlich sicher dass Blizz mit den 10€ ziemlich null auf null kalkuliert. die 12 € sind bei Abnahme von 10.000 Stück wenn ich die Preisliste richtig im Kopf habe. Bei 100.000 kommen wir vielleicht auf 7-8€ aber sicherlich nicht tiefer.

Nein - ich bin mir ganz sicher das meine Oma die RSA-Securid Tokens im 100er Pack bei Aldi für 4,95 € erworben hat.

Mach auch Sinn das sie eine Nullkalkulation bei den Teilen fahren, denn der Supportaufwand der bei entstandenem Schaden betrieben werden muss ist menschliche Arbeitszeit die investiert werden muss. Alleine wenn sich durch den Verkauf von Tokens Support Anfragen bezüglich Accountkompromitierungen um einen Faktor X senken lassen, ist es wirtschaftlich gesehen ein Erfolg. Ist m.M.n auch mit der Grund warum die Software Authenticator in App-Form kostenlos vertrieben werden.

 

[V3nDr4r]

Ich wollte mich eben bei Diablo III anmelden und dort wird mir gesagt, dass ich falsche Daten eingegeben habe. Danach habe ich gedacht, probiere ich es auf der Battle.net Seite., dort hatte ich auch keinen Erfolg.
Als ich in meinen E-Mail Account schaut habe ich mich erschrocken und eine E-Mail von Blizzard bekommen, dass sich jemand mit einer anderen E-Mail Adresse regestriert hat!

31. März 2013 17:48

"Blizzard Entertainment erhielt kürzlich eine Anfrage zum Wechsel der E-Mail-Adresse, die für den Login in diesen Battle.net-Account unter dem Benutzernamen (xxxxxx@web.de) verwendet wird. Die E-Mail-Adresse c***@hotmail.com wurde als neuer Benutzername für diesen Battle.net-Account festgelegt. Es wurde eine E-Mail an diese Adresse verschickt, die einen Link zur Bestätigung enthält, um die Änderung abzuschließen.

Sobald die neue E-Mail-Adresse bestätigt wurde, kann die Adresse druidpower@web.de nicht mehr für den Login in den Battle.net-Account oder damit verknüpften World of Warcraft-Accounts benutzt werden.

Sofern diese Anfrage nicht von Ihnen gestellt wurde, klicken Sie bitte hier, um sich schnellstmöglich an den Account- und Rechnungssupport von Blizzard zu wenden.

Mit freundlichen Grüßen,
Das Battle.net Account Team"

Was soll ich jetzt tun?

 

[Creeed]

Steht doch im letzten Absatz.

Sofern diese Anfrage nicht von Ihnen gestellt wurde, klicken Sie bitte hier, um sich schnellstmöglich an den Account- und Rechnungssupport von Blizzard zu wenden.

Was gibt es da zu fragen? Dort melden, die sind in der Regel relativ fix. Du musst eventuell ein paar Kopien oder Scans einsenden und dann wird dein Account wieder hergestellt.

 

[V3nDr4r]

Ich bin gerade beim Blizzward Live Chat unterwegs.
Der Fall wird gerade angeschaut. Rechnung von Diablo III und das Spiel habe ich hier im Original liegen.
Wie kommt sowas? Wieso kann jemand einfach mein Account so übernehmen und ändern?

 

[Creeed]

Unsicheres Passwort, Trojaner, einmal auf eine falsche Mail reingefallen. Es gibt so viele Möglichkeiten wie da gephist wird. Ich nehme an du hast kein RSA-Token. Hast du ein Smartphone, iPhone oder was mit Android? Wenn ja lad dir die Authentificator App runter, kostet nichts. Verbind die ID mit deinem Account und er ist sicher.

Zusatz

Du kannst im Battle.net einen Alarm aktivieren der jede Änderung deines Accounts an dein Handy meldet.