Diablo 3: Hackerangriff auf Blizzard

[Sprengkobold]

Ich denke, dass Blizzard das Thema Sicherheit sehr ernst nimmt. Auch wenn man sonst nicht alles von ihnen glauben kann/darf/sollte, gehe ich davon aus, dass es hier stimmt, wenn sie sagen, dass die gestohlenen Daten alleine quasi wertlos sind

Was trotzdem heisst das die Passwörter die in den Bnet Accounts verwendet wurden ab jetzt als Passwort unbrauchbar sind und man nen anderes benutzen sollte.

Das beste was man über Blizzard sagen kann ist, das sie sich nicht so peinlich wie Sony (X Wochen verschweigen des Vorfalls, Datenbank mit Klartextpasswörter, Dutzende Webseiten mit den gleichen Sicherheitslücken Wochen nach dem ersten Hack, zweistellige Anzahl an Hackvorfällen innerhalb eines Monats, Speichern von Kreditkartenifnormationen die laut Kreditkartenanbietern nicht gespeichert werden dürften, etc. etc.) aufgeführt haben. Das es Blizzard irgendwann erwischt war klar, isn großes Ziel. Kein so großes wie der Übergriff auf Windows Update Service, aber immerhin.

Und jetzt das Mantra des Tages: Passwort ändern.

 

[DerSpieler]

Hier ist noch ein technischer Beitrag zum von Blizzard eingesetzten Protokoll:
‘SRP’ Won’t Protect Blizzard’s Stolen Passwords
Fazit: (Wenn die Infos dort alle stimmen, ich konnte das noch nicht alles verifizieren) Ändert euer Battle.net Kennwort und falls ihr dieses Kennwort noch woanders einsetzt, solltet ihr diese Praktik wirklich schnell einstellen.
Guter Passwortmanager: https://www.keepass.info

 

[JG11Preusse]

kann ich ehrlichgesagt drauf verzichten...

Ich denke, dass Blizzard das Thema Sicherheit sehr ernst nimmt. Auch wenn man sonst nicht alles von ihnen glauben kann/darf/sollte, gehe ich davon aus, dass es hier stimmt, wenn sie sagen, dass die gestohlenen Daten alleine quasi wertlos sind

glaubst du, glaube ich nur eingeschränkt. da wird sicherlich auch finanziell abgewogen und manchmal spart man halt am falschen ende.

wer spiele anbietet, mit denen man echtes geld verdienen kann, der ist derart angriffen von natur aus schon heftiger ausgesetzt.
absicht braucht man sicherlich nicht zu unterstellen, denn interesse an soetwas hat sicherlich gar kein unternehmen.

user nach anmeldedatum zu qualifizieren ist natürlich komplett lächerlich

Hier ist noch ein technischer Beitrag zum von Blizzard eingesetzten Protokoll:
‘SRP’ Won’t Protect Blizzard’s Stolen Passwords
Fazit: (Wenn die Infos dort alle stimmen, ich konnte das noch nicht alles verifizieren) Ändert euer Battle.net Kennwort und falls ihr dieses Kennwort noch woanders einsetzt, solltet ihr diese Praktik wirklich schnell einstellen.
Guter Passwortmanager: https://www.keepass.info

wer software zum managen seiner passwörter einsetzt, der begibt sich schonmal auf die unsicherste schiene.
da wäre ein zettel unter dem kopfkissen schonmal deutlich sicherer.

 

[Sprengkobold]

Hier ist noch ein technischer Beitrag zum von Blizzard eingesetzten Protokoll:
‘SRP’ Won’t Protect Blizzard’s Stolen Passwords
Fazit: (Wenn die Infos dort alle stimmen, ich konnte das noch nicht alles verifizieren) Ändert euer Battle.net Kennwort und falls ihr dieses Kennwort noch woanders einsetzt, solltet ihr diese Praktik wirklich schnell einstellen.
Guter Passwortmanager: https://www.keepass.info

Das ist der Artikel auf den die in /netsec auch verwiesen haben. Zumindest soweit ich das sehen konnte, hab mir nich die Mühe gemacht jeden Thread durchzuwursteln.

Passwort ändern is so oder so ne gute Idee.

 

[RPG Dude]

Ich finde die Nachricht jetzt nicht so total überaschend. Ist doch logisch, dass Blizz eines der lohneneswertesten Ziele überhaupt ist, wahrscheinlich werden die jeden Tag angegriffen, nur kommt dabei normalerweise nix rum.
Aber irgendwann klappt es halt doch mal, die andere Seite verfügt ja auch über gewisse Kompetenzen; wichtig ist dann, dass die gestohlenen Daten nicht verwendbar sind, was hier gegeben scheint.
Sicherlich ärgerlich, aber wohl auch unvermeidbar, wenn man die schiere Zahl der Internetganoven in Relation setzt.

 

[Shihatsu]

Das Risiko sich in einer zentralen Datenbank zu befinden meinte ich.

Was den Support angeht, sprengt das mein Erinnerungsvermögen, zumal ich die ersten Monate von D2 offline spielte und erst im Oktober des Releasejahres im Bnet. Updates habe ich in meinen paar Monaten Offlinezeit nicht gezogen, afair. Aber ich meine mich zumindest aus späterer Zeit daran zu erinnern, dass man die Patches auch ohne sich irgendwo zu registrieren ziehen konnte.

Du gehst davon aus, dass Kausalität schon dann nicht mehr gegeben ist, wenn es auch eine andere Möglichkeit gibt, das Ziel (hier in der Datenbank zu sein ohne D3 gekauft zu haben) zu erreichen.
Für Kausalität musst Du aber die Kette betrachten - hier müsste also aufgezeigt werden, ob bzw. wie Du in einem Portalsystem auch spielen könntest, ohne in der Datenbank zu landen. Erst wenn das möglich wäre, wäre die von mir behauptete Kausalität nicht mehr gegeben.
AUCH in der (selben) Datenbank zu landen ist zwar möglich - aber berührt trotzdem nicht die Tatsache, dass man wegen des Portalzwangs (von D3) in der Datenbank landen MUSS, wenn man ein Portalsystem spielt.

Das risiko das meine Spam-email-Addy in der zentralen DB landet nehme ich gerne in Kauf für die Bequemlichkeit jederzeit die neueste Version runterladen zu können. Damit meinte ich nicht die patches, sondern fertig gepatchte installer.
Und zur Kausalität: Ich wäre in dieser DB auch wenn ich kein Portalsystem spielen würde, ergo gibt es keinen Zusammenhang. Natürlich muss man da drin landen wenn man D3 spielen will, das war aber niemals in Frage gestellt. Du hast doch letzlich was anderes behauptet, und genau den Zusammenhang sehe ich nicht, der kann nämlich garnicht gegeben sein weil ich wie schon erwähnt schon in der DB gab als es noch garkeinen online-Zwang gab - und es ist nunmal dieselbe DB.

 

[Smirgul]

gut das sie dies nicht vertuschen

btw die maximale pw länge ist immernoch 16 und es gibt keine gross/klein unterscheidung


wie lange brauch man mit rainbow tables für nen 16 stelliges pw in kleinbuchstaben/ziffern/sonderzeichen?

 

[DerSpieler]

Das ist der Artikel auf den die in /netsec auch verwiesen haben. Zumindest soweit ich das sehen konnte, hab mir nich die Mühe gemacht jeden Thread durchzuwursteln.
Passwort ändern is so oder so ne gute Idee.

Okay, ich selbst lese /netsec ehrlich gesagt nicht.
Ich habe diese Infos jedenfalls in das deutsche und das US-Battle.net Forum gestellt:
Sicherheitsupdate - Foren - Diablo III
Important Security Update - Forums - Diablo III

Eventuell wird das ja an die korrekte Stelle bei Blizzard weitergeleitet.
Ich überlege gerade ob ich das ganze noch per E-Mail an
hacks@blizzard.com schicken sollte..

:edit:

gut das sie dies nicht vertuschen

btw die maximale pw länge ist immernoch 16 und es gibt keine gross/klein unterscheidung

wie lange brauch man mit rainbow tables für nen 16 stelliges pw in kleinbuchstaben/ziffern/sonderzeichen?

Sonderzeichen sind afaik ebenfalls nicht enthalten.
Laut dem Artikel auf http://www.opine.me/blizzards-battle-net-hack/ gilt:

I also tested further on Amazon EC2; with a c1.xlarge Amazon EC2 instance ($0.66/hr) based on benchmarking with ‘openssl speed’ you could check approximately 100 billion passwords for $100.
So, for example, you could try 1,000,000 passwords against 100,000 users for $100. This is not what I would call “computationally very difficult and expensive.”

Bei allen Buchstaben des Alphabets und allen Ziffern haben wir einen Kennwortraum von:
26+10 = 36 Zeichen => 36^16=7.958.661.109.946.400.884.391.936 mögliche Kombinationen.
Dies geteilt durch 100 Milliarden Kennwörter per 100$ (151,51 Std. ca. 6,3 Tage) ergibt:
39793305549732,00442195968 Durchläufe bis die Hälfte aller Kennwörter geknackt ist.
Das ist immer noch sehr lang und basiert auf einem Bruteforceansatz.

Wenn jetzt jemand z.B. nur ein 10stelliges Kennwort nutzt ist der Schlüsselraum natürlich um Größenordnungen kleiner:
3.656.158.440.062.976/100.000.000.000=36561,58440062976 * 6,3 Tage
9 stellig:
101.559.956.668.416/100.000.000.000=1015,59956668416 * 6,3 Tage
8 stellig:
2821109907456/100.000.000.000=28,21109907456 *6,3 Tage
Bei 7stelligen Kennwörtern dauert das Bruteforcen aller Kennwörter unter 6,3 Tage, ist also für unter 100$ zu haben.
Aber auch längere Kennwörter können durch Wörterbuchattacken wesentlich schneller geknackt werden.
Man kann natürlich auch den Vorgang parallelisieren, indem man nicht für 100 $ eine Maschine bei Amazon für 6,3 Tage mietet, sondern 100 Maschinen für den gleichen Preis für ca. 1,5 Stunden laufen lässt.
Daher: Passwort wechseln!

 

[ikioineko]

Hier ist noch ein technischer Beitrag zum von Blizzard eingesetzten Protokoll:
‘SRP’ Won’t Protect Blizzard’s Stolen Passwords
[/url]

Angenommen was er da schreibt ist völlig korrekt und es wäre nur eine Frage der Zeit bis jedes nicht gewechselte PW gecrackt wäre, kommen die etwaigen Hacker doch trotzdem nicht am Authenticator vorbei, oder?

 

[karteikarte]

wenn du ein auth hast eher nicht. Vll ist in der DB irgendwas hinterlegt das man den Auth generieren kann, da dieser ja auch gegen irgendwas geprüft werden muss.... Wenn man mit den Daten aus der DB das Gegenstück zum auth hat kann man sich sicher so ein auth stuff erzeugen lassen..

@Smirgul: kommt drauf an wie das pw verschlüßelt(salt und so stuff) ist. ich kenne dieses SRP net..
€1: in dem erwähnten Beitrag steht eig alles

 

[DerSpieler]

gut das sie dies nicht vertuschen

btw die maximale pw länge ist immernoch 16 und es gibt keine gross/klein unterscheidung


wie lange brauch man mit rainbow tables für nen 16 stelliges pw in kleinbuchstaben/ziffern/sonderzeichen?

Angenommen was er da schreibt ist völlig korrekt und es wäre nur eine Frage der Zeit bis jedes nicht gewechselte PW gecrackt wäre, kommen die etwaigen Hacker doch trotzdem nicht am Authenticator vorbei, oder?

Richtig, wenn man einen hat, was bei der Mehrzahl nicht der Fall sein sollte.
Jedenfalls ist das der aktuelle Wissensstand.
Blizzard könnte auch einfach Kennwörter länger 16 Zeichen und case-sensitive, sowie Sonderzeichen erlauben, um den Suchraum exponentiell zu vergrößern.
2-Faktor Authentifizierung ist natürlich auch gut.
Aber Smartphoneapps als Authenifikator würde ich ebenfalls skeptisch sehen, gibt es doch schon einige Malware auch für Smartphones.
Das Hardwaretoken sollte (vorerst) sicher sein.

 

[SCHMERZ]

oh man...

Asche über euer haupt..

Ich spiel schon gar kein D3 mehr, daher kanns mir eigentlich wurst sein.

Aber ich dachte eigentlich BLizzard ist sicher..

 

[Grishnak]

Ich habe immer noch die Stimmen von vor ~14 Tagen im Ohr, die mir sagten sowas sei unmöglich.

Aber mal schön allen gehackten Leuten erzählen sie hätten Trojaner etc auf ihrem PC.

 

[Culexus]

Ich habe immer noch die Stimmen von vor ~14 Tagen im Ohr, die mir sagten sowas sei unmöglich.

Aber mal schön allen gehackten Leuten erzählen sie hätten Trojaner etc auf ihrem PC.

Hatten sie auch mit an sicherheit grenzender wahrscheinlichkeit.

 

[KingKongo]

Jetzt ist Blizzard das passiert was selbst dem FBI usw schon passiert ist sie wurden gehackt.

GMX, Yahoo, Gamingo, Steam, und eines der besten hacks aller Zeiten Half Life 2 wurde direkt wärend der Entwicklung von Gabe Newell dem Big Boss von Valve geklaut Source Code inklusive. Was war mit Sony? Die wurden auch gehackt. Unzählige Regierungseiten wurden schon gehackt und defaced.

was will er uns jetzt damit sagen?

Ganz einfach Blizzard wurde gehackt, Blizzard hat wirklich schnell gehandelt und nach dem bekannt war was gehackt wurde stellte man es zusammen gefasst ins Internet um alle zu informieren was Sache ist.

Für Europa scheinen nur die Emails geklaut worden zu sein, und keine PW's aber Scherheitshalber hab ich mein PW einfach mal geändert. Klar es ist ärgerlich das die geklauten Mails jetzt vielleicht Ziel von Spam werden. Aber wenn man vor gesorgt hat und für jedes Blizzard Spiel usw. schön eine eigene Email gemacht. Dann einfach neue machen und gut ist. Hat man das aber nicht gemacht und hat eine Email für 20 Sachen tja dann ist es gelinde gesagt schrecklich.

MfG

Kongo

 

[InfinityDX]

wei geil. selbst im rtl-videotext wird darüber berichtet dass blizzard gehackt wurde

 

[DerSpieler]

Hier ein Followup bei Arstechnica, welcher auch Bezug nimmt auf den Beitrag von opine.me
Die haben sogar eine Antwort von Blizzard erhalten, allerdings eine beschwichtigende..:
Why hacked Blizzard passwords aren’t as hard to crack as company says | Ars Technica
Fazit: Ändert euer Passwort, falls nicht längst geschehen!