News Valve: Source-Engine-Lücke macht(e) PCs über Steam angreifbar

[Termy]

Sicher kein vorbildliches Verhalten von Valve, auf der anderen Seite muss man sagen, dass das annehmen einer Einladung ja schon ein gewisses "Bekanntsein" zwischen User und Angreifer voraussetzt.

 

[jonderson]

Und ich dachte so etwas passiert nur bei Epic und nicht bei der heiligen Kuh Steam..

Wer hat denn behauptet, dass Steam eine heilige Kuh ist?

 

[Wechhe]

Valve steckt derzeit alle Ressourcen in Half Life 3 - das steht ja kurz vor der Veröffentlichung. Deswegen haben die keine Zeit für sowas.

 

[jonderson]

Sicher kein vorbildliches Verhalten von Valve, auf der anderen Seite muss man sagen, dass das annehmen einer Einladung ja schon ein gewisses "Bekanntsein" zwischen User und Angreifer voraussetzt.

Nein definitiv nicht.

Ein CS:GO Bekanntschaft läuft so ab:
Per ingame Suchsystem gefunden oder zufällig zusammen gespielt und dann in die Freundesliste genommen um später wieder mit Ihnen Spielen zu können.

Nur weil man mit jemanden ein Spiel spielt, macht man noch lange keinen "Backgroundcheck".
(Okay, bei CS:Go prüfe ich schon gerne bei Zweifeln ob der Verdacht besteht, dass die Leute Cheater sind...)

Noch dazu können die Accounts der "Bekanntschaften" ja dann irgendwann gehackt werden...

 

[DarkInterceptor]

Wer hat denn behauptet, dass Steam eine heilige Kuh ist?

verfolge doch mal wie sehr gegen epic getrollt wird und vergleiche die trollerei mal mit steam. wirst feststellen das kaum einer was gegen steam sagt. nur gegen epic. den begriff "heilige kuh" hat imho keiner bisher genutzt ausser @Axxid gerade.

 

[longusnickus]

Was lernt man daraus.
Wenn jemand auf eine kritische Sicherheitslücke draufkommt fährt er besser damit die Information and Dritte zu verkaufen. Nicht an das betroffene Unternehmen.

ich glaube damit macht man sich strafbar.

wenn man will, dass etwas passiert, dann macht man es öffentlich. warum er 2 jahre gewartet hat und nicht 2 wochen verstehe ich nicht

verfolge doch mal wie sehr gegen epic getrollt wird und vergleiche die trollerei mal mit steam. wirst feststellen das kaum einer was gegen steam sagt. nur gegen epic. den begriff "heilige kuh" hat imho keiner bisher genutzt ausser @Axxid gerade.

das ist aber nicht wegen sicherheitslücken, sondern weil der epic client einfach keine nennenswerte features hat, aber dann noch stolz ist, dass sie nur 12% nehmen
ja toll, wenn man nichts anbietet, dann kann es auch billiger machen

 

[jonderson]

verfolge doch mal wie sehr gegen epic getrollt wird und vergleiche die trollerei mal mit steam. wirst feststellen das kaum einer was gegen steam sagt. nur gegen epic. den begriff "heilige kuh" hat imho keiner bisher genutzt ausser @Axxid gerade.

Nur weil EPIC noch schlimmer ist als Steam, heißt es nicht, dass Steam eine heilige Kuh ist.

Der Zug Steam aufzuhalten ist schon lange abgefahren.
Habe lange Jahre Steam boykottiert, aber leider sind Gamer wie Schafe.
Ich finde es Schade, dass man eine Plattform wie Steam nutzen muss, bzw das es keine offene unabhängige Plattform gibt....

Aber eine "schlechte" Plattform durch eine noch schlechtere abzulösen passt zwar zum momentanen "Zeitgeist", bin ich aber absolut kein Fan von. Habe daher auch kein EPIC Account...

Das Anticonsumer-Verhalten von EPIC ist das Problem...

• EPIC Accountzwang bei RL.
• Spiele die für Steam supportet wurden, kommen auf einmal exklusiv auf EPIC.
• Spielentwickler werden daran gehindert Spiele für Linux raus zu bringen.
• Allgemein die ganze exklusiv kacke.

 

[Che-Tah]

wenn man will, dass etwas passiert, dann macht man es öffentlich. warum er 2 jahre gewartet hat und nicht 2 wochen verstehe ich nicht

...na sein Geld wollte er doch zuerst haben. Oder er wollts nochmal melden und hat beim 2. mal keins mehr bekommen? Wer weiß... Ruhmesblatt für Valve ists definitiv keins.

Hier wird etwas Stores und Engines vertauscht.
Ich denke niemand hat was gegen die Unreal Engine... nur gegen den Epic Games Store...

@jonderson: nicht zu vergessen die automatisch ausspionierten Steam Artikel und Freundeslisten sobald man den Epic Games Store installiert hatte. (Ja... war eh keine Absicht laut Epic)

 

[t3chn0]

Jetzt muss ich auch mal was dazu schreiben.

Die ganzen Fanboys rotzen unter jeden EA bezogenen Beitrag, dass Origin auf keinen Fall auf den Rechner kommt, da Origin unsicher und einfach nur schlecht ist. Steam ist mit Abstand die Beste Plattform....

Wo sind denn die ganzen Steam-Jünger jetzt?

 

[jonderson]

@jonderson: nicht zu vergessen die automatisch ausspionierten Steam Artikel und Freundeslisten sobald man den Epic Games Store installiert hatte. (Ja... war eh keine Absicht laut Epic)

So unabsichtlich, dass Rocket League alle paar Wochen nachfragt, ob sie nicht doch aktivieren sollen, dass Steam und EPIC Freunde abgeglichen werden soll. (Was spätestens nach ein paar mal Nerven wohl die meisten auch bestätigen, zumindestens wenn ich überlege wie oft ich Freundschaftsanfragen der EPIC Accounts meiner Steam Freunde ablehne... )

Ergänzung (14. April 2021)

Jetzt muss ich auch mal was dazu schreiben.

Die ganzen Fanboys rotzen unter jeden EA bezogenen Beitrag, dass Origin auf keinen Fall auf den Rechner kommt, da Origin unsicher und einfach nur schlecht ist. Steam ist mit Abstand die Beste Plattform....

Wo sind denn die ganzen Steam-Jünger jetzt?

meld
Mir kommt Origin solange nicht auf die Platte wie es kein Linux kann

Auch witzig wie man wegen einer Sicherheitslücke auf einmal alles in Frage stellen soll.
Klar ist es nicht gut und scheiße von Valve.

Aber schießt ihr eure Freundin auch ab, wenn sie einen (kleinen) Fehler macht? oO
"Du hast mir auf den Fuß getreten, ich will die Trennung!"

 

[Schredderr]

Die ganzen Fanboys rotzen unter jeden EA bezogenen Beitrag, dass Origin auf keinen Fall auf den Rechner kommt, da Origin unsicher und einfach nur schlecht ist. Steam ist mit Abstand die Beste Plattform....

Wo sind denn die ganzen Steam-Jünger jetzt?

Was wenn Steam trotz einer Sicherheitslücke die beste Plattform bleibt?
Origin ist wirklich Schmutz, alleine schon in der Bedienung. Meiner Meinung nach die schlimmste von allen und das sehen in meinem Bekanntenkreis alle so. uPlay war früher auch schlimm, hat sich aber schon um ein gutes Stück gebessert.
Aber was soll's, als jemand der mit Wörtern wie "Fanboy" und "Steam-Jünger" um sich schmeißt hast du dich sowieso schon von einer normalen Diskussion ausgeschlossen.

 

[Capthowdy]

auf der anderen Seite muss man sagen, dass das annehmen einer Einladung ja schon ein gewisses "Bekanntsein" zwischen User und Angreifer voraussetzt.

Man sollte bei "Freunden" die man nicht lange/gut kennt sehr vorsichtig sein! Als es noch einfacher war Leute um ihre Skins zu bringen, wurde in der Richtung auch "Aufwand" betrieben. Man hat sich angefreundet, einige Spiele zusammen gemacht, auch über mehrere Tage hinweg. Irgendwann wurden die Leute dann dazu gebracht eine getarnte Malware runterzuladen und das Elend nahm seinen Lauf. In diesem Fall ist es noch viel gefährlicher, denn derjenige braucht dir nur einen Invite schicken. Ein Klick und das wars auch schon!

 

[Tagesmenu]

Nur weil EPIC noch schlimmer ist als Steam, heißt es nicht, dass Steam eine heilige Kuh ist.

Der Zug Steam aufzuhalten ist schon lange abgefahren.
Habe lange Jahre Steam boykottiert, aber leider sind Gamer wie Schafe.
Ich finde es Schade, dass man eine Plattform wie Steam nutzen muss, bzw das es keine offene unabhängige Plattform gibt....
[...]

Das Anticonsumer-Verhalten von EPIC ist das Problem...

Wieso ist das ein Problem? Ich nutze Steam liebend gerne, weil es eine extrem gute Plattform ist, die sich auch nur auf Spiele beschränkt. Google sehe ich da ganz anders.

Zwar mache ich immer den Preisvergleich über keyseller, wenn ich etwas kaufe, aber manchmal ist Steam im Sale trotzdem günstiger und der ganze Service ist unschlagbar: Die Controller-Unterstützung (sogar für externe Spiele), die Linuxanbindung, die überhaupt kein Geld abwirft und generell die ganzen Communityfeatures, wenn man sie denn nutzen mag. Keine Probleme, Offlinemodus, Modunterstützung, super Aufbau, etc pp.

Bei Software und Unternehmen sollte man generell immer vorsichtig sein, was man preis gibt, das liegt aber in der Natur der Sache, weil überhaupt gar nichts sicher sein kann.

Die Zeiten ohne DRM und reinem Offlinegaming wie mit GOG sind halt vorbei, da hat der Massenmarkt eben die Qualität gesenkt, als Videospiele aus der Nische zu "Gaming" wurden.

Mir wäre die alte Welt auch lieber, genau wie eine ohne Smartphones, aber das geht halt nicht mehr und stehenbleiben hab ich erst ab 70+ vor..

 

[CastorTransport]

Die Ignoranz von Valve gegenüber Ihrer Cash Cow CS:GO ist echt frustrierend. Ständig neue Spielerrekorde und Valve macht einfach nix. Zig andere Bugs im Spiel werden ebenfalls nicht gefixt.

Warum Valve?

Die Spieler spielen es doch. Leute kaufen sich wie wahnsinnig ingame-"Immobilien" die irgendwann nichts mehr wert sind.

Gleiches doch mittlerweile im Extrem bei COD:WZ. Seit Ravensoftware dort übernommen hat, gibt es alle 4-6 Wochen eine neue "beste Waffengattung" (vermutlich absichtlich "op" gepatched).

Ein Zufall, das es ausgerechnet für die immer aktuell beliebteste (beste) Waffe im Ingameshop mindestens 10 Blueprints zu kaufen gibt? Nein, eher nicht. Ist besonders gut zu beobachten seit CW:BO Waffen mit eingebunden wurden. Zuletzt war es die Aug die overpowered war, jetzt ist es die M16. Im Dezember war es die DMR15, etc.pp.

Kein Zufall - die Waffen werden generved, der Kaufgrund/Vorteil hinfällig. Deine Ware hat nun andere Spezifikationen - Pech gehabt!

So lange Spieler diesen digitalen Wahnsinn mitmachen, ist doch alles in Butter. Es gibt hier keinen Schiedsrichter. Weder für Valve, Activision, EA oder sonst eine Spiele"schmiede".

 

[7ronic]

Da arbeiten auch nur ganz normale Menschen, denen Fehler unterlaufen können oder die mal Bugs übersehen können. Selbst der beste Entwickler bekommt keine 100% fehlerfreien Programme hin, erst recht nicht bei so komplexen Projekten wie einer Spieleengine.

Es hat auch niemand etwas anderes behauptet und du verfehlst das Thema. Das Thema ist, dass Valve zwei Sicherheitslücken seit zwei Jahren nicht behoben hat. Das ist grob fahrlässig, schon eher mutwillig. Sowas sollte eine Woche dauern, maximal zwei.

 

[AleksZ86]

Da arbeiten auch nur ganz normale Menschen, denen Fehler unterlaufen können oder die mal Bugs übersehen können.

stimmt, aber hier geht es nicht darum ob Fehler unterlaufen können oder Bugs übersehen worden sind, sondern darum dass man von der Lücke gewusst hat und diese nicht geschlossen hat

 

[silentdragon95]

Dass Valve 2 Jahre lang die Lücke nicht geschlossen hat, obwohl sie davon wussten, ist wahrhaftig ein ziemliches Armutszeugnis. Zumal das jetzt mal wirklich keine unkritische Lücke ist, da sich ja scheinbar wirklich beliebiger Code über die Einladung ausführen lässt.

In meinem Fall wäre ich zwar eher nicht anfällig für diese Lücke, weil ich normalerweise nur mit Freunden und Bekannten spiele, aber mir ist durchaus bewusst, dass viele das anders handhaben.

Gleiches doch mittlerweile im Extrem bei COD:WZ.

Etwas offtopic, aber mag mir das vielleicht mal irgendjemand erklären? Ich habe Warzone jetzt sicher schon einige dutzend Stunden gespielt, aber ich habe bis heute keine Ahnung für was oder wo ich da überhaupt Geld ausgeben soll. Bin ich blind oder funktioniert bloß deren Marketingstrategie bei mir nicht?

 

[jonderson]

Wieso ist das ein Problem? Ich nutze Steam liebend gerne, weil es eine extrem gute Plattform ist, die sich auch nur auf Spiele beschränkt. Google sehe ich da ganz anders.

Tja, das verstehe ich nicht.
Google = Böse
Valve = Gut
?
Bischen wenig Schubladen oder?

Zwar mache ich immer den Preisvergleich über keyseller, wenn ich etwas kaufe, aber manchmal ist Steam im Sale trotzdem günstiger und der ganze Service ist unschlagbar: Die Controller-Unterstützung (sogar für externe Spiele), die Linuxanbindung, die überhaupt kein Geld abwirft und generell die ganzen Communityfeatures, wenn man sie denn nutzen mag. Keine Probleme, Offlinemodus, Modunterstützung, super Aufbau, etc pp.

Auch ein goldener Käfig ist ein Käfig...

Bei Software und Unternehmen sollte man generell immer vorsichtig sein, was man preis gibt, das liegt aber in der Natur der Sache, weil überhaupt gar nichts sicher sein kann.

Das Problem ist, dass Steam keine freie Software ist.
Steam geht morgen pleite oder entscheidet sich, dass du für den Login einen Regentanz aufführen musst?
Schluck die Pille oder deine komplette Freundesliste ist gleich mit weg...

Verstehe mich nicht falsch, Steam macht vieles richtig, aber für mich gehört eine Spieleplattform nicht in die Hand eines einzelnen Unternehmes. Aber Millionen von Launcher halte ich auch nicht für das Richtige.
Deswegen eine zentrale Plattform die auf OpenSource fußt und für den Betrieb ein wenig Geld bekommt.

 

[Smagjus]

Sicher kein vorbildliches Verhalten von Valve, auf der anderen Seite muss man sagen, dass das annehmen einer Einladung ja schon ein gewisses "Bekanntsein" zwischen User und Angreifer voraussetzt.

Wenn der Angreifer einmal Erfolg hat, kann er einfach mit dem Account des Opfers dessen komplette Freundesliste angreifen.

 

[I'm unknown]

Ist das der gleiche Florian der schon 2016 bezahlt wurde? (Florian Bogner)
https://www.valvesoftware.com/de/security

Danke für den Link, das hat mich dazu bewegt ein Meme zu erstellen .