Notiz Epic Games Store: Inanspruchnahme von Gratisspielen nur mit 2FA

[menace_one]

Und die bieten ihre Daten auch ganz sicher überhaupt nicht zum Verkauf an... lol.

Wenn du eine FOSS OTP app nutzt, sollte das Risiko von Datenabfluss sehr gering, der Sicherheitsgewinn hingegen sehr hoch sein.

 

[seyfhor]

Ach, so lange es über Mail auch geht, die haben sie ja sowieso. Das ist ganz fair. Wenn die sich gegen Bots schützen wollen ist das ok.

 

[Trinoo]

finde ich richtig so.
Da die Menschheit ja scheinbar nicht selbst in der Lage ist, sich ordentlich abzusichern (siehe Passwortwahl der letzten 20 Jahre), muss man sie halt dazu zwingen
2FA sollte man eh überall nutzen bzw erforderlich machen... dann gibts auch deutlich weniger Geheule über kompromittierte Accounts.

 

[Marco01_809]

Irgendwie denke ich das hat weniger mit Kundensicherheit zu tun. Die wollen einfach verhindern, dass Bots die Gratisspiele in tausenden von Fake Accounts automatisch abgreifen

Die wollen eher Supportkosten sparen an Accounts wo sie den echten Besitzer verifizieren müssen weil der sein Passwort verschludert hat.
Gegen Bots hilft das nicht, auch ein Bot kann einfach den 2FA-Code einlesen und dann Tokens generieren. Würden sie nur SMS-2FA erlauben und keine mehrfachverwendung der Telefonnummer erlauben, dann würde man es Bots tatsächlich schwer machen.

 

[just_fre@kin]

2FA ist schlecht, ich will keine APP zum Spielen benötigen. Email PW interessiert mich genauso wenig.
Mein PW ist sicher und ich will einfach nur spielen. Was soll passieren? Selbst wenn das PW geknackt wird, benötigt man zum Account wechseln die Emailadresse+Email Passwort.

Ob dein Passwort wirklich "sicher" ist oder nicht, kann man meiner Meinung nach gar nicht so leicht beurteilen. Statistisch gesehen haben die meisten Leute nur wenige Passwörter für viele Accounts - und die Passwörter sind dann meist noch hanebüchen ("passwort1234" & Co.) Man kann lediglich das Risiko eines erfolgreichen Angriffs minimieren, indem man sich auf was "Kryptisches" festlegt. Es gibt durchaus Gründe, warum die Firmen mehr und mehr Sicherheitsmechanismen von Einem abverlangen - zum Eigenschutz und zum Schutz des Kunden. Es geht nicht immer nur um das Sammeln von Daten (wobei ich immer noch nicht weiß, welch große Anzahl an Daten Epic jetzt durch die 2FA von mir abgreifen wollen würde?).

Irgendwie denke ich das hat weniger mit Kundensicherheit zu tun. Die wollen einfach verhindern, dass Bots die Gratisspiele in tausenden von Fake Accounts automatisch abgreifen. Solche Accounts gefüllt mit interessanten Spielen kann man irgendwann auf illegalen Plattformen zu Geld machen.

Selbst wenn es so wäre, was wäre daran verwerflich? Vermutlich werden es verschiedene Gründe sein, warum man sich darauf festlegt.

 

[Palomino]

Grundsätzlich ist 2FA richtig.
Man kann das seinen Kunden auch entsprechend schmackhaft machen.
Aber sobald man dazu Zwang verwendet, ich weiss nicht...

Es ist ja weiterhin freiwillig es zu nutzen. Es ist nur ein Baustein um Gratisspiele zu bekommen, genauso wie das du ein Epic Konto benötigst.

Ja, genau das ist die Definition von Zwang.

Nein, es wäre dann ein Zwang wenn Du dich ohne 2FA nicht mehr einloggen könntest bzw. deine Spiele starten.

 

[longusnickus]

bin das sehr skeptisch bei einer firma, die

• mit dem client spioniert hat, ob steam installiert ist
• sich bei fortnite schon datenlecks geleistet hat
• zu 49% tencent gehört

nachdem ich sicher nicht der einzig bin, der noch nie ein spiel bei epic gekauft hat, aber schon um die 100 spiele sein eigen nennen kann, wird epic jetzt wohl endlich mit diesen nutzern geld verdienen wollen... mit daten

 

[Marco01_809]

wird epic jetzt wohl endlich mit diesen nutzern geld verdienen wollen... mit daten

Ich habe da auch keinen Account angelegt weil ich diesen Exklusivitätsmüll nicht unterstützen will und mir der chinesische Anteilseigner auch missfällt, aber man muss trotzdem keinen Stuss in die Kommentare schreiben.

Wer so dödelig ist und da seine Telefonnummer preis gibt ist selbst schuld, bei den gängigen TOTP-Apps fallen gar keine Daten an. Der Server generiert einen Key, zeigt ihn dir als QR Code, den liest du in der App ein und diese generiert dann aus dem Key + aktueller Uhrzeit die Tokens die beim Login abgefragt werden.

 

[just_fre@kin]

@longusnickus Ich denke Epic verdient genug Geld mit:

• Fortnite (auch wenn der Umsatz zuletzt schwächelte)
• Lizenzierung ihrer Engine (Unreal Engine ist immer noch sehr populär am Markt)
• Anteile bei verkauften Spielen (doch, es gibt auch Leute, die da Spiele kaufen)

Recht gebe ich dir allerdings bei Tencent. Das ist eine Entwicklung, die ich mit großer Sorge betrachte. Bei mir persönlich ist China nicht erst seit den jüngsten Ereignissen unten durch und die Marktdurchdringung auch im digitalen Bereich durch die kommunistische Partei ... ähm Tencent ... gefällt mir nicht, sodass ich grundsätzlich gegen die Einflussnahme chinesicher Firmen im Westen bin. Daher lehne ich beispielsweise auch Huawei für den 5G Ausbau ab und fordere neue Produktionsorte.

 

[Marcel55]

Es gibt fast keinen Grund es nicht zu nutzen.

Komfort. Faulheit. Leichtsinn.
Ich nutze auch nur dort 2FA Authentifizierung wo es unbedingt nötig ist. Ich finde es tatsächlich nervig auch wenn es durchaus was bringt, zumindest für den Fall der Fälle, der unwahrscheinlich, aber sicher nicht unmöglich ist.
Und wenn ich durch den Account eh nichts zu verlieren habe, warum dieser Aufwand?

 

[eRacoon]

Top! Sollten viel mehr Dienste verpflichtend machen und würde massiv gegen Account Diebstahl helfen.

 

[D0m1n4t0r]

Bei Authentifizierungs-Apps hab ich immer das Problem dass ich nicht weiss welche Daten die Sammeln.
Ausserdem finde ich, geht es Epic Games, Steam oder sonstwen auch nichts an welche Handynummer ich habe.
Und dann ist da noch das Problem was mit den per App gesammelten Daten geschieht. Gut möglich dass Epic alles weiterverkauft.

 

[DocAimless]

Die App ist schlicht dafür da über eine feste ID Konten zusammen zu führen. Eine solche App sollte natürlich nicht nach Daten fragen. Im Grunde hat es mehr mit Payback als mit Sicherheit zu tun. Deswegen ist der Service auch gratis. Du bist eben das Produkt.

Bitte bitte las mich den Sarkasmus überlesen haben.
Falls nicht würde ich Dir echt empfehlen den Aluhut zu wechseln. Scheinst echt noch nichts von FOSS 2FA Cients gehört zu haben.

Bei Authentifizierungs-Apps hab ich immer das Problem dass ich nicht weiss welche Daten die Sammeln.
Ausserdem finde ich, geht es Epic Games, Steam oder sonstwen auch nichts an welche Handynummer ich habe.
Und dann ist da noch das Problem was mit den per App gesammelten Daten geschieht. Gut möglich dass Epic alles weiterverkauft.

Echt jetzt?
Wenn ich so was lese, frage ich mich wirklich, ob sich solche Leute schon mal wirklich also mehr als 5 min. mit 2FA OTP befasst haben.

Dabei führt diese schöne "Sicherheit" dazu, dass man sich gern selbst aussperrt (Authenticator-App geht mit dem Handy verloren/ kaputt) oder der Account wird übernommen, weil der Provider eine ZweitSIM mit zu niedrigen Hürden versendet ....

Da kann ich nur mit dem Kopf schütteln, wenn ich solche Beiträge lese.
andOTP oder Aegis sind wohl echt fremd. Und da kann man "Achtung" sogar Backups machen damit bei verlusst man wieder an die Token kommt. Oder man sicherst sich einfach beim Einrichten die QRs dann kann man immer wieder die sachen einrichten.

Wenn APP, dann muss der Anbieter die selber auch Hosten und darf nicht auf den Play/App Store verweisen.

Facepalm mit Kopf->Tisch...

Ich habe 2FA bei genau einem einzigen Account aktiviert (ein Spiel, war gierig und wollte 'ne kleine Belohnung für's Aktivieren von 2FA absahnen) und es nervt mich jedes Mal, wenn ich mich damit neu einloggen muss. Jedes mal das Handy rauskramen müssen nervt einfach.
Ich nutze verschiedene ausreichend komplexe Passwörter für verschiedene Accounts, zum Teil auch verschiedene Mailadressen und ich denke, damit habe ich völlig ausreichend Sicherheit. Zumal man ja viele Accounts hat, wo ein Leak selbst von PW in Klartext + Username - was ja sehr selten ist - gar nicht soo schlimm wäre, solang diese Loginkombination nirgendwo sonst verwendet wird und man über einen etwaigen Loginversuch informiert wird.

Bestes Beispiel für Faulheit vs. Sicherheit.
Durch OTP kann selbst eine e-Mail/Username + Passwort im Umlauf sein und es bringt ihnen null wegen 2FA.
Die 10-15 Sekunden sind es mir wert die App zu starten und die 6 Zahlen einzugeben. Und es gibt sogar bei einigen Spielen oder Anbietern die Funktion für 30-90 Tage eingeloggt zu bleiben damit man nicht täglich dies machen muss. Aber auch nur, wenn man am gleichen System sitzt ist dies möglich.

 

[ReactivateMe347]

Ich finde diese 2FA-Pflicht oder Quasi-Pflicht extrem nervig. Facebook bei "Auffälligkeiten", wobei die "Auffälligkeit" offenbar schon ist, wenn man heute einen neuen Account anlegt. Microsoft macht es ähnlich, nur mit weniger false-positives, wie mir scheint. Freenet erwartet das zur Freischaltung von SMTP. Telekom FreeMail spert sogar Bestandsnutzer aus, die keine Handynummer angeben wollen.

Dazu kommen nervige false-positives, man nutze "ein unbekanntes Gerät", weil man es wagt, Cookies zu löschen.

Dabei führt diese schöne "Sicherheit" dazu, dass man sich gern selbst aussperrt (Authenticator-App geht mit dem Handy verloren/ kaputt) oder der Account wird übernommen, weil der Provider eine ZweitSIM mit zu niedrigen Hürden versendet ....

Edit: Zwangsangabe der Handynummer, d.h. einmalige 2FA, und regelmäßige 2FA sind hier Äquivalent betrachtet.

Ergänzung (29. April 2020)

Bei Authentifizierungs-Apps hab ich immer das Problem dass ich nicht weiss welche Daten die Sammeln.
Ausserdem finde ich, geht es Epic Games, Steam oder sonstwen auch nichts an welche Handynummer ich habe.
Und dann ist da noch das Problem was mit den per App gesammelten Daten geschieht. Gut möglich dass Epic alles weiterverkauft.

Zumeist kann man die Apps Offline betreiben und der Standard ist bekannt - da wird es schwer, unbemerkt Daten zu übertragen. Und gerade bei Epic haben ja veile ein Auge drauf, wegen der Vergangenheit des Stores bzw. genauer des Clients.

 

[Robert.]

Anscheinend muss nur Epic Store im Titel stehen, und viele Nutzer geben gleich ihr Hirn ab oder beleidigen.

Ich habe mich ja nicht aufgeregt, dass ich 2FA brauche für die gratis Spiele. Ich will nur nicht, dass das zur Pflicht wird. Manche schaffen es ja nicht einmal, sinnerfassend zu lesen und werden gleich untergriffig.

Wenn APP, dann muss der Anbieter die selber auch Hosten und darf nicht auf den Play/App Store verweisen.
SMS würde gehen, aber ich möchte gar nicht unnötig persönliche Daten in irgendeinem Store eingeben.

Wenn ich schonmal hier schreibe, gibt es auf 2FA "Apps", die man ohne App/Playstore downloaden und verwenden kann?

 

[Beitrag]

Ich habe 2FA bei genau einem einzigen Account aktiviert (ein Spiel, war gierig und wollte 'ne kleine Belohnung für's Aktivieren von 2FA absahnen) und es nervt mich jedes Mal, wenn ich mich damit neu einloggen muss. Jedes mal das Handy rauskramen müssen nervt einfach.
Ich nutze verschiedene ausreichend komplexe Passwörter für verschiedene Accounts, zum Teil auch verschiedene Mailadressen und ich denke, damit habe ich völlig ausreichend Sicherheit. Zumal man ja viele Accounts hat, wo ein Leak selbst von PW in Klartext + Username - was ja sehr selten ist - gar nicht soo schlimm wäre, solang diese Loginkombination nirgendwo sonst verwendet wird und man über einen etwaigen Loginversuch informiert wird.

 

[corvus]

Wenn ich hier so die Einwände gegen 2FA lese bin ich mir nicht sicher, ob das hier wirklich ein Technikforum ist.
Selber verwende ich sogar bei meiner privaten NAS 2FA. Und wer glaubt, dass ein Google Authenticater Daten klaut, nur weil Google drauf steht soll sich doch bitte ein Hardware-Token (Yubikey zb) holen. In vielen Firmen ist das schon jahrelang Standard, auch Elster Online, DATEV, Banken und sonst wer haben schon jahrelang 2FA im Einsatz und hier klingt es so, als hätten die meisten hier das eben gegooglet und ihre Meinung beim überfliegen des ersten Treffers gebildet.
Und dann auch noch, wenn es ums Abgreifen von Gratisspielen geht... unglaublich.
Aber Epic mag ich auch nicht.

 

[Rastla]

Und schon wird es wieder negativ aufgenommen.

Ist nur logisch, dass etwas negativ aufgenommen wird wenn man zu etwas gezwungen wird, das bis dato nicht so war.


Zum Thema:
Ist auch gut so. Von mir aus könnten sie auch jeden dazu zwingen 2FA zu aktivieren... oder es zumindest sehr umständlich machen 2FA zu deaktivieren.
Ist für die DAUs sicher besser (alle anderen würden 2FA bereits verwenden)

 

[knoxxi]

Bei Authentifizierungs-Apps hab ich immer das Problem dass ich nicht weiss welche Daten die Sammeln.

Tonnen....

...nicht!

 

[Andre NotSure]

Was für ein Schwachsinn...ich habe den Oculus Launcher, Rockstar Launcher, Origin Launcher, EPIC Launcher, Blizzard Launcher, Steam, UbiSoft Launcher, Amazon Games Launcher und den Microsoft Store mit Game Pass...wenn beim PC Start jetzt jeder eine Zwei-Faktor-Authentifizierung einfordert brauche ich ja ne Stunde bis alles hochgefahren ist ....total nervig ....da lob ich mir die Einfachheit meiner XBox. Da verzichte ich lieber auf Gratis Spiele die ich eh nie spiele wenn das zur Pflicht wird.