Rés a pajzson

2012. augusztus 10. · WARCRAFT · Barnus · 2 forrás · 70 hozzászólás

Blizzardra manapság nagyon rájár a rúd. Az utóbbi idők bugjai, mind apróságnak tűnhet a jelenlegi biztonsági rés mellett.

Mike Morhaime újabb közleményt kényszerült kiadni, ezúttal egy sokkal komolyabb gonddal kapcsolatban. Történt ugyanis, hogy sikerült betörni a Blizzard rendszerébe és az amerikai játékosok adatainak egy részét megszerezni. Az eset kivizsgálása még folyamatban van. Eddig nincs rá bizonyíték, hogy bankkártya adatokat, vagy valós neveket is elloptak volna. Email címeket azonban bárkiét lenyúlhatták, elvileg tehát ebben az európaiak is érintettek lehetnek? Mike global battle.net usereket említ.

Az Amerikai szerverhez tartozó felhasználóknak a titkos kérdéseikhez és válaszaikhoz is hozzáférhettek, valamint az aktuális jelszavaikhoz. Ezt elvileg nagyon biztonságosan kódolva tárolják, melynek visszafejtése nem könnyű feladat, mégis azt javasolják, hogy az érintettek mindenképp változtassanak jelszót. Amennyiben a regisztrált email címükhöz is ugyanez a jelszavuk, akkor annak megváltoztatása is javasolt.

A következő napokban egyébként minden amerikai játékost megkérnek majd, hogy változtassanak titkos kérdés/választ is.

Ezen felül a mobile authenticatort használóknak is frissíteniük kell majd az authenticatorukat, félő, hogy azok sorozatszámaihoz is hozzáfértek, ami elvileg akár lehetőséget adhat az eredeti klónozására.

Players and Friends,

Even when you are in the business of fun, not every week ends up being fun. This week, our security team found an unauthorized and illegal access into our internal network here at Blizzard. We quickly took steps to close off this access and began working with law enforcement and security experts to investigate what happened.

At this time, we’ve found no evidence that financial information such as credit cards, billing addresses, or real names were compromised. Our investigation is ongoing, but so far nothing suggests that these pieces of information have been accessed.

Some data was illegally accessed, including a list of email addresses for global Battle.net users, outside of China. For players on North American servers (which generally includes players from North America, Latin America, Australia, New Zealand, and Southeast Asia) the answer to the personal security question, and information relating to Mobile and Dial-In Authenticators were also accessed. Based on what we currently know, this information alone is NOT enough for anyone to gain access to Battle.net accounts.

We also know that cryptographically scrambled versions of Battle.net passwords (not actual passwords) for players on North American servers were taken. We use Secure Remote Password protocol (SRP) to protect these passwords, which is designed to make it extremely difficult to extract the actual password, and also means that each password would have to be deciphered individually. As a precaution, however, we recommend that players on North American servers change their password. Please click this link to change your password. Moreover, if you have used the same or similar passwords for other purposes, you may want to consider changing those passwords as well.

In the coming days, we’ll be prompting players on North American servers to change their secret questions and answers through an automated process. Additionally, we’ll prompt mobile authenticator users to update their authenticator software. As a reminder, phishing emails will ask you for password or login information. Blizzard Entertainment emails will never ask for your password. We deeply regret the inconvenience to all of you and understand you may have questions. Please find additional information here.

We take the security of your personal information very seriously, and we are truly sorry that this has happened.

Sincerely,
Mike Morhaime

Az eredeti cikk

Archív cikk. A Frostshock! korábbi éveiből, a Wayback Machine-ből visszaszedve, az eredeti szöveggel és dátummal. Ember írta, de régen — ami akkor hír volt, ma már nem feltétlenül érvényes. Mit jelentenek a jelölések?

70 korábbi hozzászólás

Archív hozzászólások, a Wayback Machine-ből visszaszedve.

Cavalorn

Hát ez ciki.
Hryrk

Ehhez külön gratulálok. GZ Blizz… Az eset kivizsgálása után, azért közölhetnék pontosan mekkora szarba is sikerült beletenyerelni. Pontosan mihez is fértek hozzá, és mely régió(k)ra vonatkozik. Ui.: Remélem holnap gyönyörű hozászólásokat olvashatnak majd a kékek a hivatalos fórumon.
Spellbreak

Az már nem kispályás ha account jelszót is kitudtak lopni, még ha kódolt formában is.
walteeer

What data was affected? Here’s a summary of the data that we know was illegally accessed: North American-based accounts, including players from Latin America, Australia, New Zealand, and Southeast Asia: Email addresses Answers to secret security questions Cryptographically scrambled versions of passwords (not actual passwords) Information associated with the Mobile Authenticator Information associated with the Dial-in Authenticator Information associated with Phone Lock, a security system associated with Taiwan accounts only Accounts from all global regions outside of China (including Europe and Russia): Email addresses China-based accounts: Unaffected ez alapján az európaiknak “csak” aze-mail címével lehet probléma…
Gil

A betörés ténye önmagában még nem ciki,ami az lehet,az a hozzáférés időtartama. Talán emlékeztek még amikor sorra lopták az amcsi accokat,és az volt a válasz,hogy külsős oldalakat törtek fel, majd próba szerencse alapján lopták azokét,akik ugyanazt a pw-t használták. Na most ennél kicsit hatásosabb,ha volt egy Blizzardos lista amit össze tudtak vetni a máshonnan lopottal. Az egészben az az igazán bosszantó, hogy jó eséllyel eladják 0,001 cent/db áron az email címeket,és jön majd a csak erre tartott és épp ezért nyugis,spamtől mentes fiókra a Viagra spam meg a ‘MOP Beta Test Invitation enter your login/password here”
Eredar

cry moar. lehet ezért (is) bashelni a Blizzt, de még mindig nem egy olyan feltörés (“At this time, we’ve found no evidence that financial information such as credit cards, billing addresses, or real names were compromised.”) mint a Sony-SOE esetében
tntmaxy

Sajnálatos és szomorú dolog, és ez már lassan az első szög a koporsóba.
Spellbreak

@tntmaxy: Steamet is feltörték nem rég, ha a wow meghal nem emiatt az incidens miatt lesz. Én a fórumon nem láttam olyan hatalmas nagy felháborodást, inkább csak megköszönték a Blizznek az infót.
Attila

Nagy napra ébredtek ma a Blizzard-haterek! Érdekes, hogy Mike Morhaime nem említette, hogy mely játékon vagy rendszeren keresztül történt a behatolás, ami persze tökéletesen érthető. Sőt, azt se se mondta, hogy mely játéknak a játékosai vannak “veszélyben”.
Attila

Fontos kiemelni, hogy a jelszavaknak csak a titkosított formáját sikerült lenyúlni, azokat meg visszafejteni egy kicsit macerás. What can you tell us about the scrambled passwords that were accessed? Cryptographically scrambled versions of passwords for North American players were accessed, protected by Secure Remote Password (SRP) protocol. This information alone doesn’t give unauthorized users the actual passwords — each password would need to be deciphered individually. The added layer of protection from SRP makes that process computationally very difficult and expensive.
D4v3

@Attila: Macerás, de hozzáértők törtek be, ergo csak idő kérdése a passok feltörése. Ami meg nagyobb gond, hogy a játékosok elég nagy százaléka szerintem nem olvas FS! jellegű oldalakat amúgy sem hogy még időben értesüljön a dolgokról.
stunt

A Blizzard mostanában nagyon sokat hibázik, egyre jobban romlik a cég felé táplált bizalmam és elfogultságom, régen minden jobb volt!
slug

A jatekosok legalabb 80% -a nem emlekszik a titkos kerdes / valasz -ra, ahogy en sem. Nem ilyen korulmenyek kozott jo lenne nekemis valtoztatas
Drout

@D4v3: Nem kell FS-t olvasni, a launchernél is bejön a link: http://eu.blizzard.com/en-gb/securityupdate.html?utm_source=internal&utm_medium=launcher&utm_campaign=d3&utm_content=news-textlink
Shamihammi

Nemtom, mirefel ez a nagy felháborodás. Kb mindenhova be tudnak törni. Blizzhez se most először törtek be, csak most értek el fontosabb dolgokhoz, amit már nem lehetett elsunnyogni. Más fejlesztők ennél sokkal rosszabb helyzetekben is kussolnak. Csak azt nem törik fel, amiben nincs pénz ….
westward

Ah, lehet megint kopkodni a Blizzardot… Hajra mindenki, aki eddig se volt kepes az accountjat biztonsagban tartani/megadta a loginjat a haverjainak/eladta az accat gold sellereknek, most aztan lehet billentyuzetet ragadni es teli torokbol kopkodni a Blizzardot. De itt akkor alljunk is meg csak egy pillanatra, ha jol tudom, akkor a Steam, a Sony es mas elmeletben sokkal jobban biztositott es sokkal biztonsagosabb rendszerekkel rendelkezo cegek honapokkal elobb vereztek el es naluk kozel minden adatot kinyertek, mig itt NEM sikerult elegendo informaciohoz jutni ahhoz, hogy egyaltalan be tudjanak logolni a hackerek, arrol nem is beszelve, hogy egy olyan szervezetnek(mert azt ne kepzelje senki, hogy Jenoke az anyja pincejebol a laptopjarol tort be a Blizzhez) pont nem lesz jobb dolga, mint a TE karidrol lecibalni az epicet amit a Blizzard ugyis visszaad napokon belul. Ez szerintem 2 okbol tortenhetett… Egy, hogy megmutassak, hogy igenis meg tudjak csinalni(ami a mai vilagban mindenhol csak ido kerdese, NINCS 100%-ban biztos rendszer, nincs olyan, hogy a TE adataidhoz senki nem tud hozzaferni). Ketto, a banki adatokra voltak kivancsiak, amikhez NEM sikerult hozzaferni. En nem aggodnek attol, hogy “Huuuuu, most aztan mindenki accat feltorik”, mert egy egyszeru e-mail cserevel(ami uj e-mail fiok csinalasaval egyutt is kb 5 perc) meg is van oldva minden. Uff
westward

@Shamihammi: Blizzardhoz most tortek be eloszor. Mint minden mas cegnek a Blizzardnak is jogi kotelessege kozzetenni, ha a rendszeruket feltorik es eddig meg nem volt ilyen kozzetetel, ergo meg eddig ilyen nem volt.
Fairyfeather

Sajnos tokeletes biztonsag nincs az IT-ban. Ahogy jonnek ki a tuzfalak, IDS/IPS kodok, mar a kulonbozo bugokra scanneli is a tomeg. A fejlesztes (az IT biztonsagra jellemzo modon) le van maradva a hackerektol. Emlekezzunk fejben a Codemasters torhetetlen DRM-jere, es ahogy a hacker korok masnapra fel is tortek (nem feltetlen ugyanaz, de a jelenseget jol szemlelteti). Amit latni lehet, hogy a Blizz az megtett nagyjabol mindent (szerintem a US Battle.netre huztak be az elkovetok kozvetlenul, mert gyanitom, hogy a WoW-ot meg a DioIII-at kiszolgalo halozatokat a Battle.net-tel osszekoto szakaszan is ul ketto-harom tuzfal, egyszerubb mondjuk valamilyen tamadassal a eu.battle.netet elkapni, az latszik a net felol, egyszeruen felterkepezik kintrol, milyen ISP, milyen domain-neveken megy keresztul a forgalom fele, latszik-e az elso router/tuzfal, vagy nem, ilyesmi). A Battle.net sem egy homogen halozat, a regiok ezek szerint szeparalva lettek, esetleg problema esetere van valamennyi adatbazis replikacio, szerencsere csak az e-maileket kaptak el EU-ban. Amit elottem is elmondtak, nem az a gaz, hogy betortek, hanem az, hogy nem tudni, meddig hasznaltak ezt ki, miert nem jelezte semmi, hogy illetektelen behatolas tortent, mert ezek altalaban valamilyen valtozassal jarnak a rendszereken (megnovekedett konfiguracios file-ok, CPU kiporog, szokatlan forgalomtipusok a halozaton, sajnos ehhez egy nagyon jo management rendszer kell, ammeg nem olcso). Mondjuk ahogy gondolom, az IT a Blizzen belul is kontinensenkent mas szervezeti egyseg lehet, az is elofordulhat, hogy az amcsi IT reszleg nem allt a helyzet magaslatan, ugye a sok kola meg sultkrumpli, hehe. Ez mindenesetre manapsag sajnalatos esemeny, es az ilyen high-profile cegekre nem kis csoportok (vagy maganyos script-kiddie-k) repulnek ra, hanem profik, igy az eredmeny boritekolhato volt. Annyira nem szoktam megrettenni ezeknek a hallatan, de valahogy osztonosen ovatosabb vagyok, ha a Blizz fele kiadott adataim biztonsagarol van szo. Mert amig a Google, Amazon es tarsaik mar bizonyitottak, addig a Blizz meg nem annyira. Az orok kerdes: a leepitettek kozt hany IT Security expert lehetett?
Attila

@Fairyfeather: Az örök kérdés inkább az, hogy mi értelme feltenni egy olyan kérdést, amire senki se tudja a választ abban a közegben, amiben elhangzott?
Klapiklapp

osszeeskuves elmelet on.. MS-es hackerek tortek fel ,hogy lehuzzak a Blizz reszvenyek arat ,amiket igy majd olcsobban fognak megvenni!!!! osszeeskuves elmelet off…
Fairyfeather

@Attila: Jahh, igaz, igaz, nem trollkodasnak szantam. Kar egyebkent, hogy nincs itt egy pletykas magyar Blizzard-dolgozo…
Szolo

@Shamihammi: Hát elég jó pénz van sok területen, amit valahogy mégsem törnek fel. Hogy mást ne mondjak, a tőzsdék online kereskednek, és valahogy mégsem törték még föl a New York-i tőzsdét, pedig azzal nem millió, de dollár 100 milliárdokat is szakíthatnának rövid idő alatt. Nem azt nem törik föl, amit nem akarnak, hanem azt nem törik föl, ami a kockázattal arányosan költ a biztonságra is.
r00t

@westward: A “hivatalosan” szot kihagytad, a tobbi reszevel a reakciodnak egyet tudok erteni ” jogi kotelessege kozzetenni, ha a rendszeruket feltorik es eddig meg nem volt ilyen kozzetetel, ergo meg eddig ilyen nem volt.” Te tuti jogasz lehetsz ilyen gondolkodassal es nem az IT security vonalon dolgozol az is tuti De nincs ezzel semmi gond, csupan legyunk azzal tisztaban, hogy nem akkor kompromittalodik barmi, amikor feny derul ra, hanem akkor, amikor az ehhez szukseges lepes(eket) valaki(k) megteszik(azaz megtortenik a dolog). A 2 idopont szinte soha nem egyezik, a kozotte eltelt ido pedig cumi. peace, udv uff.
Tech

@Szolo: Haha ez nagyon jó volt. Szerencse ,hogy a nasa “public” szerverét is feltörték már többször is pedig abban nincs pénz. Az abszolút kizárt gondolom,hogy egy cracker pusztán “szórakozásból” betör valahova? Olyan is előfordul már az életben ,hogy az adott cég megbízásából törtek be valahova ezzel testelve a biztonsági réseket. Jelen esetben nem erről van szó valószínüleg de ezen kár pörgetni az agyunkat szvsz. Változztassatok jelszót az emailen meg az acc-on is és akkor megnyugodhatunk .
westward

@Fairyfeather: A hivatalos kozlemenyben anno ez allt: “Blizzard’s current development and publishing schedules will not be impacted. The company will announce specific release plans for Diablo® III in the near future, and it’s continuing to drive aggressively toward beta testing for World of Warcraft: Mists of Pandaria™, Blizzard DOTA, and StarCraft® II: Heart of the Swarm™. Blizzard also remains committed to maintaining its high standards of quality for customer service delivery. In addition, Blizzard is still recruiting and looking to hire qualified developers for a number of open positions” Bar konkret informacio nincs arrol, hogy kiket kuldott el a ceg anno, de ebbol en arra kovetkezetek, hogy leginkabb a GM-ek egy reszet epitettek le es nem developereket, vagy olyanokat akik a biztonsagi rendszeren dolgoztak. De ez persze csak az en spekulaciom, amit mondjuk az is “alatamaszt”, hogy a Blizzard anno 12 millio jatekosra rendezkedett be, es azota vesztettek majd 3 millat, valamint egy kazal automata rendszer van, ami a GM-ek melojanak egy jo reszet atvette, amibol is lathato, hogy leginkabb rajuk “nem volt mar szukseg annyira”(ha erdekel, ezt erdemes elolvasni: http://wow.joystiq.com/2012/03/02/blizzard-layoffs-could-mean-many-things/)
westward

@r00t: Jogos, erre valoban nem gondoltam, hogy lehetett olyan incidens amire eddig nem deult feny naluk, vagy meg most se derult ki, hogy mar egyszer be-be kukucskaltak a rendszerukbe. Amugy nem vagyok jogasz, csak mikor a Steam es a LoL volt hackelve akkor is mindenki ott irta, hogy milyen jofej a ceg, mert szolt es ott volt valamelyik forumon linkelve a toveny, miszerint ha ez tortenik akkor a cegnek kotelessege kozzetenni. Onnan maradt meg ez az informacio.
H.Meredith

Nem értem mi ez a nagy Blizzard utálat. Feltörhetetlen rendszer nem létezik! Be lehet törni bárhova, még a NASA-hoz is a megfelelő tudás, kitartás, eszközök birtokában. Van erre egy jó mondás: “Amit be lehet zárni, azt ki is lehet nyitni!”
Attila

@Barnus: US realmen tolod?
Barnus

Örülök, hogy az EU mobile authenticatorokhoz nem fértek hozzá. S60-as nokiám van, nem támogatott már a java-s authenticator, így nem tudnék újat letölteni belőle már. Remélem azért túl sok spammel nem árasztanak el minket. Bosszantó lenne, hogy a gondosan ilyen random oldalakon nem megadott email címem ismét napi 20-asával fogadhatná a a mop beta invite levelet :S
Barnus

@Attila: nem. de az email cím minden global usert érint, including europe. Csak kínaiak cimei nem lett megszerezve, nem?:)
Barnus

@H.Meredith: Na igen, ebben igazad van. Csak tudod, hogy működik az ember. A diablo 3 kapcsán felmerült néhány cikis baki, nem váltotta be sokaknál a játék a hozzá fűzött reményeket, így most jó ideig minden negatív vonatkozású dolgot hozzá lehet csapni a D3-as bakikhoz, hogy “na még ez is, kész röhej, egyre csökken a színvonal, régen minden jobb volt, látszik, hogy már az activision a fejes, nem véletlenül szabadult vivendi a részvényeitől, meglátszik a kirugott emberek, stb. stb.”.
Attila

@Barnus: Akkor kezdhetsz parázni a spam miatt.
Barnus

@Attila: bááár mondjuk nem tudom, meg mondom őszíntén. Anno ugye 2004-ben én US-en kezdtem és ugyanezen az accounton van a US wow-om is. Szóval fogalmam sincs, hogy ezáltal a battle.net accom hova tartozik. amikor bejött az új módi, hogy battle.net accountot kell csinálni és merge-lni a wow accal, akkor még csak a US accom volt meg, szóval akár lehet az is, hogy én a US database-ben is benne vagyok vagy mi
Magister

Lehet már szedni a Titan alfát?
Brosius

Nincs biztos infóm, csak azt tudom mondani amit észrevettem. Nagyjából olyan 1-2 hete történhetett ez a dolog, akármi kedves hazugságot mond majd a nagy PR szövegelő mesterük. Loggoltam volna be és közölte, hogy az accomat lezárták mert illektételen behatolás próbálkozás történt az email tudtával, de mivel a kódot nem tudták így az account-ot a próbálkozások után lockolta a blizz. Visszakaptam kb 5 perc után, azóta is rendben van, csak a spam ugrott meg persze, aminek én is marhára örülök ám :S mivel ez nem public mail volt. Nagyjából ennyit tudok hozzátenni a dologhoz. Az meg a fentebb lévőknek, hogy blizz-hez sose törtek még be ez éktelen nagy baromság nem egyszer nem kétszer elég sokszor megtörtént csak a PR mindig elsimította és szőnyeg alá söpörte. Most kénytelen voltak jelenteni, hogy ne kerüljön bajba a cég eladása előtt. Ennyi.
Barnus

@Brosius: ezek az összeesküvés elméletek persze, kénytelen volt jelezni, hogy eladás előtt ne kerüljön bajba Azt, hogy valaha betörtek-e Blizzhez, se te, se én nem tudhatjuk. Állíthatod magabiztosan, hogy már korábban is betörtek, csak elhallgatta Blizz, de ez semmi más, csak üres fecsegés, alaptalan feltételezés. Lehet, hogy így volt, én nem tudom az ellenkezőjét állítani, nincs erre vonatkozó SEMMILYEN információm, így nem tudom az állításod ellenkezőjét alátámasztani. De gyanítom, hogy te sem tudod a sajátod Az, hogy valamilyen szinten betörtek-e máskor is, adatok megszerzése nélkül, az megint egy másik dolog. Amíg a felhasználók adataihoz nem férnek hozzá, addig az csak a saját káruk. Lehet, hogy naív vagyok és elvakult a Blizzard felé, de hiszem azt, ha ezelőtt bármikor hozzáfértek az emailcímeinkhez/egyéb adatainkhoz és amennyiben ennek a Blizzard tudatában van, én hiszem azt, hogy máskor is ugyanígy értesítettek volna. Aug 4-én történt egyébként a betörés, múlt szombaton egyébként.
Drout

mint biztonsági szakember azt mondom van 100%ban feltörhetetlen rendszer csak sokba kerül.
Brosius

Tudtam, hogy azonnal jönni fog a fanboy szöveg, mást nem is vártam. Mindegy. Legalább olvasd el amit írtam. Azt mondtam, hogy igen korábban is betörtek, és mivel ennyire szereted a blizzt biztosan olvastad is mert mindegyikről jelentett a PR részleg korábban is, csak elmismásolva. Vagy az ilyeneket észre sem vetted? De azt nem mondtam, hogy a betöréssel el is értek valamit, csak azt, hogy már történt meg. Ide ír az ember normálisan, fikázás nélkül, személyeskedés nélkül, elmondja a tapasztalatát és le van szólva? Azért kapjatok már a fejetekhez ember. Egy rossz szavam nincs rátok de azonnal szar ember vagyok mert nem egyezik a véleményünk. Így aztán sok értelme van a blognak, ha értelmesen nem lehet kommunikálni veletek eltérő vélemények miatt. :S
Attila

@Brosius: Nem kell hisztizni, senkit se fog meghatni. Inkább adj egy-két linket ezekhez az “elmismásolt PR jelentésekhez”.
JaceBeleren

Ez komoly dolog, remélem senkit sem ér kár. Ebben nincs semmi, bármikor megtörténhet ez a dolog.Remélem csiszolnak még ezeken a ťűzfalakonˇ.
evoken

Pár hete nekem is lockolták az accom (5 és fél éven keresztül semmi parám nem volt, néztem is hogy “na végre” nekem is ellopták az accom?)de feltette a titkos kérdést, megadtam a választ és heló, azóta minden ok. Vagy nem?
Magister

@Brosius: Csupán szerettek volna meggyőzni arról, hogy amit írsz, az nem úgy van, illetve ha nem ott dolgozol, nem tudhatod (ha megírta VérHackerIstván belsős-belső blogja, az nem hiteles forrás). Ez nem az eltérő vélemény kategória. Mindenesetre az sem ér, ha valaki ellentmond neked, akkor megsértődsz.
Barnus

@Brosius: te miről beszélsz? ki mondta, hogy szar ember vagy? miért mondasz olyanokat, amiket én nem állítottam? Leírtad a véleményed. Én meg leírtam az enyémet. Reagáltam a véleményedre, ennyi. Most akkor kivel nem lehet kommunikálni? Eltérő véleményen vagyunk, amit elmondtam neked. Most miért kell ilyenkor elővenni rögtön ezt a kapjatok a fejetekhez hogy mertek visszaszólni a blogotokon kártyát? Egyébként meg egy szóval nem állítottam azt se, hogy nincs igazad. Mindössze azt bátorkodtam megjegyezni, hogy nem szerencsés100%-ig biztosan állítani valamit, amiben baromira nem lehetsz biztos. Mindjárt más, ha úgy fogalmazol, hogy szerinted már többször is betörtek, de nem verték nagy dobra, vagy az, ahogy te tetted, hogy 100%-ig állítod, hogy több, mint 3x törtek be. Na és ugye én ne mondjak neked ellent, de te is ugyanúgy kapásból lebaromságoztad azt, aki azt állította, hogy sosem törtek be. Ugyenezt tettem én is. Egyszerűen baromságnak tartom én is, amit te írtál. Most mi a különbség? miért a hiszti?
fects

A titkos kérdés-választ hol lehet megváltoztatni? (Jelszót, emailt tudok váltani, de ezt nem találom.)
Nouse

@fects: Nem lehet. Azért titkos
fects

Régebben lehetett, és akkor is titkosnak hívták
tsirche

Reméljük azért nem fogja alapjaiban megingatni a Blizzardba vetett bizalmat. A Sony majdnem belebukott, pedig ott se lett semmi visszaélés az ellopott adatokkal a végén, se email bombázás nem indult, se hitelkártya nullázások (pedig az anti PS fanok mindent megtettek a pánikkeltés érdekében – valószínűleg ez itt is elkerülhetetlen lesz). A miértre meg a válasz: referencia.
Kobor

Ha US játékos lennék, eléggé paráznék most, mert gondolom nincs mindenkinek authenticator-a (nekem is csak a sima mobil low level security van, az sms féle), de ha egy normális (erős) jelszót használt valaki, az joggal gondolhatta, hogy nem fogják brute force-al feltörni. Na most uyge megvan a kódolt a jelszava, és ha nincs szerencséje (mondjuk éppen nyaral), vagy az övét kezdték el előszőr visszafejteni, akkor hatalmas bukta lehet egy rakt embernél, na most dolgozhatnak majd ezerrel a support-osok, hogy ki az igazi tulaj 1-1 account-on.
Barnus

@Kobor: igazából az sms féle “low level securty”-vel többre mész, mint a titkos kérdés/válasszal, vagy a jelszóval. Látod, ezek ellopható adatok. Viszont ha neked élesítva van az SMS security, azzal titkos kérdés nélkül is vissza tudod állítani az accodat, prioritáson van ez a rendszer, tehát fel tudsz lépni olyannal szemben, akinek szintén birtokába kerül a titkos válaszod, mivel az sms cimzettje az mindenképp te vagy. Ez csak úgy változtatható meg, ha előtte kapsz a te telefonodra egy ellenőrző kódot. Szóval akinek a telefonja hozzá van csatolva a bnet accához, annak sok félnivalója nincsen. Egyébként meg az igazi tulaj minden esetben tudja magát igazolni a személyi igazolványával, a név ugyanis nem változtatható, és teljes egészében nem is látszik az account managementben
Verminaard

@tsirche: azért a Sony esete merőben más volt, hiszen ott a Sony nemtörődömsége nagyban közrejátszott a történtekben. Biztonsági fórumokon már hónapokkal az eset előtt téma volt, hogy outdated Apache szervert használtak tűzfal nélkül (és erről nyilván a Sony is tudott), csak idő kérdése volt, hogy mikor használja ki valaki a lehetőséget.
Pj0tr

Azt a jelszót nem éri meg nekik visszafejteni, mert kb annyit keresnének az össze feltört acc vagyonával, mint egy acc feltöréséhez szükséges. A tőzsdék és a bankok nem a publikus hálózaton ülnek így kívülről elég nehéz feltörni. A feltörhetetlen rendszer pedig az, ami nem kapcsolódik a világhálóra. Persze lokálisan az is törhető, de mivel ez itt nem a Mission Impossible soron következő epizódja, nem olyan egyszerű fizikailag bejutni egy erősen őrzött létesítménybe. A spam szűrő pedig egy nagyszerű találmány…
Kobor

@Barnus: Igen, igazad van, de ha a Diablo III paypal miatt nem tettem volna fel az sms-protect-et, akkor most fájthatna a fejem (márming ha US lenne az account-om).
Theo

@Drout: Ezzel az Iráni urándúsitó szakijai nem értenének eggyet http://lemil.blog.hu/2011/04/06/a_stuxnet_projekt Mikor engem tanítottak, akkor az a mondás járta, hogy a legbiztonságosabb gép, ami kikapcsolva, kábelek nélkül elföldelve van 2 méter mélyen. És az se 100%
Tech

@Drout: Ilyet jó szakember sose állítana. Mindig van legalább 1% esélye arra ,hogy egyszerűen elromlik valami,esetleg időjárási tényező is felléphet stb.. Nem mellesleg ahol ilyen szintű biztonsági intézkedéseket kell végrehajtani .Ott hamarabb elindul 2-3 helikopter a hacker irányába mintsem az befejezné amit épp elkezdett . (Csak hozzávetőlegesen a Nasa-hoz aki betört 52 kódot tört fel a 250ből . Mire már kiértek hozzá a fekete ruhás emberkék)
Ghostboci

Ez elég csúnya. A fő gond az, hogy szemben amit a Blizz állít, a bekódolt passwordok nem olyan nehezen feltörhetőek, mégpedig azért mert az átlag felhasználó nem túl okos és nevetségesen egyszerű passwordöket használ. Ha csak a legegyszerűbb 10000 szót rápróbálják (ami másodpercek alatt megvan) akkor kb az accountok 10%-a meglesz. Ezeket szépen eladják a goldsellereknek. A többivel nem is nagyon kell vacakolniuk, mert ezekről épp elég goldot szereznek a sellerek hogy egész Pandaria alatt árulják. Én azt javaslom hogy nézzetek meg egy olyan oldalt mint a http://www.passwordmeter.com/ és ott le lehet mérni, hogy egy password milyen erős.
Tech

@Ghostboci: Az se túl okos ám aki ilyen oldalakon tesztelgeti a jelszavát .Uramisten… Nem tudom mikor regeltél valahova is legutóbb de elég sok helyen alapból mutatja egy kis csíkon ,hogy a password-öd milyen erősségű.
Verminaard

@Ghostboci: a jelszó hash törés az nem próbálgatós módszerrel történik, ott nincs jelentősége annak h ki mennyire bonyolult jelszót használ, szóval ettől még lehet a Blizzardnak igaza. Viszont az igaz, hogy az email címek ismeretében egy bruteforce jellegű támadás már könnyebben kivitelezhető, bár azért az csak feltűnne a security teamnek h. valaki már 12826x próbálkozik rossz jelszóval. @Theo: Az iráni szakik védelmében, azért ott a SCADA rendszerek és a Windows sérülékenysége is közrejátszott, ami nem rajtuk múlt.
erdoszellem

Haldoklik a Blizzard.
Cathfaern

@Tech: Az nem túl okos, aki nem checkolja le előbb az oldalt, hanem észt oszt A password minősítő algoritmus 100%-ban javascriptben van megírva, és ajax-al se küld semmit. Szóval nyugodtan lehet használni az oldalt (egyébként van egy letölthető program is ott, ha leszeded és letiltod a neted, akkor végképp biztos lehetsz benne, hogy nem küld el semmit). @Ghostboci: Nem tudják rápróbálni, mert nem tudják a Blizz milyen saltot vagy egyéb keverési módszerrel állítja elő a hasht. Ahhoz a brute force módszerhez a szervert kéne próbálgatni, ellenben elég hozzá az e-mail cím is.
Jushi

Ehhez a “már lockolták is az accountom” témához annyit tennék hozzá, hogy nekem sokszor belockol már attól, hogy átülök a tőlem 1.5 méterre lévő másik géphez és onnan logolok be. Aztán meg változtathatom meg a jelszavam… természetesen ugyan arra ami volt… Amíg van autenticator + sms protect, akár ide is kiírhatnám a jelszavam, passwordom, semmi bajom nem lenne belőle, max kicsit több spamot kapnék arra az emailemre amit amúgy nem használok nagyon másra.
Tech

@Cathfaern: Erről a 100% témáról vitatkozhatunk de inkább nem .Egyébként abban igazad van ,hogy nem néztem meg az oldalt és ezért had ne kérjek elnézést.Esetleg azt kifejtenéd ,hogy mikor regelsz az aktuális oldal “mércéje”(ami jelzi a passod erősségét) miért nem megfelelő a számodra?Gondolom emiatt vagy kénytelen ilyen oldalt használni nem ?
Khas Dylar

@Drout: Nekem még azt tanították, hogy az informatikában két dolog biztos: az információvesztés és hogy nincs teljes adatbiztonság. Persze én nem vagyok biztonsági szakember @Ghostboci: Ha nem tudják pontosan, hogyan vannak kódolva a jelszavak, nem tudják kipróbálni azt a legegyszerűbb 10k szót. Ha címenként megpróbálnak 10k-szor brute force-al belépni, a Blizz úgy kitiltja a kérdéses accountokat, mint a huzat, aztán lehúzhatják a wc-n a megszerzett címeket. Ha tévedek és van valami ultimate megoldás, akkor légy szíves oszd meg velem, ne maradjak tudatlanságban! A jelszavak erősségéről emlékeim szerint született már egy-két könyv is, úgyhogy arról kár vitatkozni, én csak a jó öreg XKCD-s képet tenném hozzá: http://xkcd.com/936/ Amúgy szerintem nem történt akkora katasztrófa, mint többen gondolják. A betörés által okozott security problémák 99%-át egy egyszerű e-mail cím cserével meg lehet oldani, a régi címről meg azt is elfelejteni, hogy valaha a világon volt és akkor még a spammel sem kell foglalkozni.
Zibuprofen

“We take the security of your personal information very seriously, and we are truly sorry that this has happened.” Erről ez http://youtu.be/j–tixvta_g jut eszembe .
Puma

@Ghostboci: utolsó 5 karakter nélkül még 98%-os egyébként fejből nem is tudom csak ha ránézek a billentyűzetemre akkor kiagyalom hogy mi is :d egy értelmes angol vagy magyar szó sincs benne
Drout

Nah, nézzetek utána a Common Criteria-nak. Ha a level7-es szintet egy adott témában sikerül teljesíteni az már valami. Iráni urándúsítóban értelemszerűen nem fordítottak elég pénzt, figyelmet az informatikai biztonságra. @Khas Dylar: ez az egyik legalapabb tétel. amiről beszélek, hogy hogyan védekezzünk ellene. erre vannak módszerek. @Tech: figyelj, most felvágok. CISA, CISM, CISSP. ezeket a vizsgákat már letettem. és elég jól ismerem a fent hivatkozott Common Criteriát. Lehet biztonságos rendszert csinálni, csak nem az általatok ismert módszerekkel. Egy játékgyártó cégnek nem fog kifizetődő lenni ez soha. “a védelem költsége legyen arányos a védett értékkel”
Rusoult

http://www.opine.me/blizzards-battle-net-hack/ – ezek szerint ha rendelkeznek a username-el, meg az ellenőrző adatbázissal az SRP nem sokáig tartja vissza a jelszavak feltörését. Szóval a legjobb, ha amcsi accod van szépen megváltoztatod minél hamarabb a jelszavad, lehetőleg nem az e-mailben kapott levelekben lévő linkeken, hanem közvetlenül a us.battle.net-en.
tntmaxy

@Rusoult: Unless Blizzard has previously strengthened their verifier database by selecting their own, more expensive hashing algorithm—such as bcrypt set at an onerous difficulty—then each users’ password can be individually dictionary attacked at well over 100k guesses per second. Combined with Blizzard’s reduced entropy password policy (all lower-case, no symbols), this means that it is highly likely that the vast majority of passwords stored in their database have already been cracked by the attacker. Ez a része csak részben igaz a linken levő írásnak. Lehet speciális karaktereket is használni, viszont -a legnagyobb megdöbbenésemre- kis és nagy betűk között valóban nem tesz különbséget a rendszer. Biztos ami biztos azért megváltoztattam az egyébként is hosszú és zagyva jelszavamat és az email címet is.
Barnus

No, befejeztük a hálózatbiztonsági vitafórumot
westward

@fects: Beloggolsz az account managementre, majd jobb felul support, es irsz egy ticketet, hogy elfelejtetted, a tickethez csatolsz egy fenykepes igazolvanyt(szemelyi/utlevel pl) es kapsz majd egy e-mailt amiben benne lesz a kerdes is es a valasz is. Nekem is sikerult elfelejteni es igy par oran belul mar meg is irtak, ahogy ok is irni fogjak, a legjobb az, ha elolvasod, valahova felirod magadnak es aztuan torlod a levelet, ha esetleg az e-mailedet hackelik akkor ne az legyen az elso amit olvasnak, hogy mi a titkos kerdesed es valaszod.
IdealDarkness

Pedig most akartam visszajönni Pandára, de akkor inkább talán mégsem…

Rés a pajzson

Az eredeti cikk

70 korábbi hozzászólás

Frostshock!

Rovatok

Közösség