News Steam: Valve behebt massive Sicherheitslücke im Shop

[HL2Striker]

Von wegen für weniger als eine Stunde. Das ging fast den ganzen Abend so.

 

[jurrasstoil]

Von wegen für weniger als eine Stunde. Das ging fast den ganzen Abend so.

Ungefähr 1h 15m laut reddit. Um knapp 3pm PST meldeten sich die ersten zu Wort und klagten darüber falsche Kontoinformationen zu sehen und um ungefähr 4:20pm PST wurde Steam dann komplett offline genommen.

 

[leckerKuchen]

Auf Reddit und Co. gab es zig Seiten mit Leuten die was dazu geschrieben haben und bei Twitter gab es unter #Valve hunderte Tweets pro Minute. Und dann hat es über eine Stunde gedauert, bis Valve reagiert hat. Das nenn sich mal unverantwortlich.

Wer weiß wie lang Valve schon dran war am Problem? Nur weil sie nicht schreiben "wir sind dran" heißt es nicht dass nicht schon am Problem gearbeitet wurde.

Beim Bezahlen den Haken bei "Zahlungsmethode für zukünftige Transaktionen speichern" rausnehmen. Im Profil selbst kannst die gespeicherten Zahlungsmethoden ansehen und ggf. löschen.

Weiß nicht ob das reicht. Ich denke wenn man es schon gemacht hat muss man bei Paypal eine Art "Daueraufrtag" beenden. Zumindest war das bei mir damals der Fall.

 

[Palmdale]

Der Shop im Client is bei mir immer noch down

 

[Launebub]

Eher schon wieder, er funktionierte ne Weile.

 

[zuz]

Glaub nicht an einen Fehler seitens Valve! Denke eher das da von außen Einfluss genommen wurde.
Dann werde ich mal brach mein Kreditkarte im auge behalten.

Die Erklärung von Valve ist technisch äußerst schlüssig und stimmt mit den beobachteten "Symptomen" überein.

Nachdem die diversen Kiddiegruppen diesen Winter wieder ihrer DDOS Attacken starteten passt das schon - ich könnte mir folgenden Ablauf vorstellen:

* Kiddies legen mit Ihrer DDOS los
* Zielen Explizit auf Bereiche die vom Caching ausgenommen sind (z.B. Profilansicht)
* Last auf den Steam Servern steigt und die Techniker aktivieren von Hand oder automatisiert weitere Caching-Systeme
* Übersehen in der Hitze des Gefechts die nötigen Ausnahmen im Caching (eine Zeile in der Varnish* Config reicht aus)
* Und plötzlich werden muntern Nutzerprofile gecached und an alle ausgeliefert

Den selben Fehler findet man laufend bei Ecommerce Unternehmen die erste Skalierungsschritte vornehmen ...

* laut Reddit setzt Valve auf Varnish, obs wirklich so ist sei dahingestellt

 

[Alkcair]

Auf Reddit und Co. gab es zig Seiten mit Leuten die was dazu geschrieben haben und bei Twitter gab es unter #Valve hunderte Tweets pro Minute. Und dann hat es über eine Stunde gedauert, bis Valve reagiert hat. Das nenn sich mal unverantwortlich.

Öhm... Feiertage und so? Da sitzt momentan wenn überhaupt nur eine Stammbelegschaft, die sich darum kümmert, den Betrieb am Laufen zu halten. Mehr aber auch nicht.

 

[Sturmwind80]

Der Standardmäßig eingestellte Haken bei "Zahlungsmittel merken" geht mir auch immer wieder auf die Nerven. Dann vergesse ich den wieder raus zu nehmen und muss wieder manuell alles Rückgängig machen. So einen "Komfort" braucht kein Mensch.

 

[TheDuffman]

Öhm... Feiertage und so? Da sitzt momentan wenn überhaupt nur eine Stammbelegschaft, die sich darum kümmert, den Betrieb am Laufen zu halten. Mehr aber auch nicht.

Da sitzt immer nur eine handvoll Leute. Deshalb ist ja der Support auch so abgrundtief schlecht.

 

[Palmdale]

Öhm... Feiertage und so? Da sitzt momentan wenn überhaupt nur eine Stammbelegschaft, die sich darum kümmert, den Betrieb am Laufen zu halten. Mehr aber auch nicht.

Schon, aber das ist halt wie in der Gastronomie. Gerade an den Feiertagen möchten die Leute spielen bzw. haben überhaupt Zeit zum ausgiebigen Spielen respektive keinen Bock auf Kochen und gehen aus. Diese Dienstleistungs-Arbeitsplätze haben immer suboptimale Arbeitszeiten...

 

[Mort626]

Hatte mich schon gewundert. Das kam bei mir auch. Zeitweise sollte ich mich in Steam im Shop neu eimloggen, obwohl ich im Programm selbst eingeloggt wear oder ich habe Wunschzettel vollkommen fremder leute gesehen, dann war der Store tot...

Bzw. die Community ist immernoch unerreichbar. Dass da so ein riesen Bug dahintersteh hätte ich nicht gedacht. Naja, mal kurz Paypal gecheckt, keine neuen Überweisungen. Werd das mal im Auge behalten.

 

[Benderu22]

Interessante Erklärung (auf Englisch)
https://www.youtube.com/watch?v=dkSslseq9Y8

 

[CD]

Weiß nicht ob das reicht. Ich denke wenn man es schon gemacht hat muss man bei Paypal eine Art "Daueraufrtag" beenden. Zumindest war das bei mir damals der Fall.

Das habe ich auch noch ergänzt. Entweder du hattest das Zitat erstellt bevor ich es hinzugefügt hatte, oder du hast die Ergänzung entfernt (warum auch immer)

Im Prinzip kann sich auch jeder der Englisch versteht auch einfach das kurze Video von TotalBiscuit anschauen:

https://www.youtube.com/watch?v=x80VOkFwsL0

Er fasst das alles recht gut und verständlich zusammen. Das grösste Problem sehe ich momentan hauptsächlich darin, wie Valve mit der Situation umgeht. Nämlich garnicht. Ok man will nicht gerade Panik verbreiten indem man massenhaft Emails mit "Leute, behaltet in den nächsten Tagen/Wochen mal besser eure Kreditkartenabrechnung genau im Auge" verschickt.

Aber irgendein Statement wäre nett. Sowas wie "Es wurden keine Daten abgegriffen und eure Accounts sind sicher". Am besten auch noch per email, damit es auch jeder bekommt. Statt dessen erfährt man eine wilde Mischung von Tatschen und Spekulationen aus inoffiziellen Kanälen, bzw. erfährt absolut garnix oder liest auf Seiten wie Focus oder Spiegel Online darüber, die daraus natürlich Click-Bait Überschriften im Stile von "Valve's Steam Store zu Weihnachten gehackt!" machen.

 

[Tramizu]

.
Eine Stunde halte ich für mitten in der (europäischen) Nacht für den ersten Weihnachtstag, der an den meisten Orten der mit Abstand wichtigste ist, für sehr gut.

Das die ganze Sache nur eine Stunde ging halte ich für ein Gerücht. Zwei bis drei Stunden bevor die ersten Meldung mit den fremden Accounts auftauchten, war Steam selbst schon sehr lahm. Das hat man deutlich gemerkt. Wahrscheinlich wird auch mehr gewesen sein, als Steam selber zugibt.

 

[NuminousDestiny]

Na wenn sogar Kreditkarten-Daten einsehbar waren, dann ist das ja ein schöner Beweis dafür wie gut sich Valve um kritische Daten kümmert. Aber ja empfehlen die Daten abzuspeichern damit man es beim nächsten Mal einfacher hat.

Noch besser: Gebt Valve die Telefonnummer nur wegen einer "sichererereren" Authentifizierung.

 

[Cokocool]

Na wenn sogar Kreditkarten-Daten einsehbar waren, dann ist das ja ein schöner Beweis dafür wie gut sich Valve um kritische Daten kümmert. Aber ja empfehlen die Daten abzuspeichern damit man es beim nächsten Mal einfacher hat.

Naja soweit ich es gelesen habe, waren nur letzen 2 Stellen der Kreditkarten Nummer sichtbar

 

[RipperJoe]

Naja soweit ich es gelesen habe, waren nur letzen 2 Stellen der Kreditkarten Nummer sichtbar

Ja so war das. Allerdings weis man nicht was "hinter den Kulissen" noch so sichtbar war.

 

[maggel]

Ich halt die paysafe karten ja immer wieder für gut

 

[Pure Existenz]

Wie gut, dass ich kein Steam hab.
Mag diesen ganzen Verein nicht...

Aber eine Stunde zur Weihnachtszeit, ist kein schlechter Wert, bis gehandelt worden ist.
Dennoch frage ich mich, wie persönliche Daten mit anderen Daten so gemischt werden (können)?
Da kann es nicht nur ein Zahlendreher gegeben haben...

 

[Mort626]

Ich halt die paysafe karten ja immer wieder für gut

So siehts aus. Werd wohl auch wieder drauf umsteigen. Fand das eigentlich sehr praktisch mit Paypal, als ich nicht mehr ständig von hand aufladen musste, aber jetzt wirds iwie komisch :O