News Steam: Übernahme beliebiger Accounts durch Sicherheitslücke

[blockberd]

...
Betroffene Anwender erhalten eine E-Mail mit einem neuen Passwort.
...

Ja, super. Gleich ein neues Passwort einfach mal im Plain Text ueber unverschluesselte E-Mail verschicken. Anstatt es als One-Time-PW zu setzen, wird Nutzern nur "empfohlen" ein neues Passwort zu hinterlegen.

Valve sollte es eigentlich besser wissen...

 

[MaverickM]

Laesst sich zB mit dem Google Authenticator oder falls du deine Secretkeys verstaendlicherweise nicht auf dem Phone haben moechtest: https://github.com/Yubico/yubioath-android bewerkstelligen.

Oh, Danke für den Tipp, die App kannte ich noch nicht.

 

[blockberd]

Die Frage ist, ob einem das der Steam-Account wert ist?

Oder besser gesagt: Warum haben andere Anbieter (LoL, WoW usw dies noch nicht integriert?).
In Zeiten von Smartphone hat doch eh jeder die Mail direkt parat.

WoW hat sowohl einen Hardware-Token Generator, als auch eine Smartphone App die man dafuer nutzen kann. Bei LoL weiss ich es gerade nicht.

 

[Asghan]

Schon heftig, wie so eine Schwachstelle übersehen werden kann.


D.h. all die Leute, die plötzlich (etwa via Twitch) ab- und woanders angemeldet wurden, hatte keine 2-Faktor-Anmeldung aktiviert? Interessant.

Ich hab auch keine, einfach weil Valve keine App für WP anbietet -.-

 

[MaverickM]

@blockberd:
League of Legends hatte bisher gar nichts. Erst kürzlich haben sie eingeführt, dass man wenigstens E-Mails kriegt... Echt traurig, bedenkt man die enorme Nutzerbasis, und damit das Potential an Angriffsfläche.

Ergänzung (27. Juli 2015)

Ich hab auch keine, einfach weil Valve keine App für WP anbietet -.-

Du kannst Dir aber die herkömmliche Variante via Code per E-Mail aktivieren. Solltest Du auf jeden Fall machen.

 

[wickedgonewild]

Da kam mir direkt das hier in den Sinn

https://www.youtube.com/watch?v=pXkTMhp7QFI

 

[M@C]

Oh, Danke für den Tipp, die App kannte ich noch nicht.

Kann ich waermstens empfehlen, funktioniert tadellos. Es gibt sogar eine Desktop Applikation: https://github.com/Yubico/yubioath-desktop (der Key liegt ja auf dem Yubikey).

 

[snj]

was hab ich denn da gelesen.... tschuldige, ging ja um Valve und nicht Blizzard/WoW. Mein Fehler. Hier Stand quatsch

 

[Pr0gramm]

Dafür gibts doch den Steam Guard oder habe ich jetzt etwas übersehen? Um meinen Account an einem fremden Rechner zu nutzen, muss dieser Rechner autorisiert werden und das geht nicht ohne Zugang zu meinem Mails.

 

[Uepsilon]

hast du eine von den emails bekommen oder entnimmst du es dem artikel? ich denke bei den leuten ist einfach der "reset password"-prozess angestoßen worden und das alte passwort wurde deaktiviert, damit das auch wirklich dein pw änderst.

aber schon ne dicke lücke von valve. keine tests geschrieben wa?

 

[Ginko]

Edit: Falsch gelesen

 

[Asghan]

@blockberd:
League of Legends hatte bisher gar nichts. Erst kürzlich haben sie eingeführt, dass man wenigstens E-Mails kriegt... Echt traurig, bedenkt man die enorme Nutzerbasis, und damit das Potential an Angriffsfläche.

Ergänzung (27. Juli 2015)

Du kannst Dir aber die herkömmliche Variante via Code per E-Mail aktivieren. Solltest Du auf jeden Fall machen.

Das habe ich ja drin, dachte die Tokenapp wäre nochmals zusätzlich ergänzend dazu. Steamguard ist aktiv bei mir, und die Mails bei neuen Geräten sind auch scharf.