Steam: Datenbank gehackt - Valve prüft möglichen Verlust von Account- und Kreditkartendaten

[Rabowke]

Was bringt dich zu der Aussage? Weißt du, wie die Rollen- und Rechteverteilung auf Valves Datenbank eingerichtet ist? Wenn man erstmal mit entsprechenden Rechten ausgerüstet ist (was laut Meldung anscheinend der Fall war), kann man problemlos beliebige Tabellen auslesen. Und selbst verschlüsselte Daten lassen sich nach dem Runterladen bequem im eigenen Kämmerchen knacken, wenn der potentielle Gewinn die Mühe lohnt, was bei Kreditkartendaten definitiv der Fall wäre.

Originale Meldung von Gabe:
We learned that intruders obtained access to a Steam database in addition to the forums. This database contained information including user names, hashed and salted passwords, game purchases, email addresses, billing addresses and encrypted credit card information.

Ich hab dir den für mich wichtigen Teil mal markiert.

Ich arbeite selbst als Softwareentwickler und nach meinen bisherigen Erfahrungen auch mit Giganten der Branche wie IBM oder Oracle kann ich nur sagen, daß da auch nur mit ganz lauwarmem Wasser gekocht wird. Natürlich können die Daten in einem anderen Schema mit ganz anderen Benutzern gelegen haben. Aber darauf wetten würde ich sicher nicht. Zumal das wie gesagt eh nichts gebracht hätte, falls die Hacker sysadmin-Rechte erhacken konnten.

Mag alles sein, aber wenn du selbst als Softwareentwickler tätig bist, dann weißt du selbst, dass hashed and salted Passwords mit normalen Equipment unmöglich zu knacken sind.

Selbst mit GPGPU ( Cuda etc. ) dürfte das Knacken in akzeptabler Zeit nicht möglich sein.

Ich lass mich hier gerne eines besseren belehren, aber die c't hat öfters Artikel zu diesem Thema und meinte selbst, dass mit viel Salz in der Suppe sowas schlicht nicht praktikabel zu knacken ist.

Hier ist übrigens der Artikel auf den ich mich beziehe: Cracker-Bremse | heise Security

 

[McTrevor]

Salt wird verwendet um vorberechnete Hashlisten nutzlos zu machen und hat keinerlei Einfluss darauf, wie schwer eine Verschüsselung zu knacken ist.

Und ich behaupte nicht, daß es einfach ist, die Sachen zu knacken. Das kann durchaus ein paar Monate dauern. Aber wenn genügend Daten erobert wurden, lohnt es sich trotzdem. Wenn man den privaten Key erstmal ermittelt hat, kann man ja alle Daten entschlüsseln.

Salt und Hash ist ja alles ganz nett und gut. Was beim Versuch die Daten jetzt zu knacken aber primär den Aufwand ausmachen wird, ist die gewählte Schlüssellänge.

Bis dann denn!

McTrevor

 

[Rabowke]

...

Hab ich irgendwo das Gegenteil behauptet?

Ich hab dein Bsp. mit der Wohnung eben nur angepasst, ich hab nicht ohne Grund Türen mit Sicherheitsbolzen erwähnt.
Damit wollte ich zum Ausdruck bringen, dass man eben nicht gleich Zugriff auf alle Daten ( = Wohnung ) hat, sondern auch ein paar Hürden zu Überwinden hat.

Du hast ja davon gesprochen das die Hacker gleich kompletten Zugriff auf alle Daten haben, was faktisch falsch ist.

 

[martog]

Das einfachste was betroffene jetzt machen können, wenn sie da Kreditkarten eingesetzt haben sich eine neue zu bestellen und die alte Karte zu sperren.
Beim Rest kann man eigentlich als Kunde nur abwarten.
Was mich am meisten stört, das es nicht sofort eine Benachrichtigung per email gegeben hat von Valve.
Gibt sicher einige die wie unter anderen ich auch nicht jeden Tag Steam benutzen.

Mir ist es eh lieber die Packung hier zu Hause auch zu sehen von den Spielen. Da kann man denn immerhin trotz allem noch beweisen das einem der Account gehört.

 

[Mendos]

Cross game events?

Fällt bei mir eigentlich alles mit unter Vertriebsplattform. Ist dann halt Werbung

Also zahle ich das selbe für ein Spiel, aber wenn ich es später nochmal spielen will kann ich das problemlos, weil es immer noch in meinem Account ist.

Ich verkaufe selten ein Spiel. Die letzten beiden warn für die Xbox: Final Fantasy 13 und LA Noire. Und die hab ich verkauft weil es absolute Enttäuschungen waren und ich mich zwingen musste sie durchzuspielen. Und die Option möchte ich halt in solchen Fällen haben.

Aber vielleicht ist das wirklich das beste. Steam in ner Sandbox installieren und dann nurnoch solche Billig-Angebote kaufen. Da haben die Publisher eben was sie wollten, statt 50 Euro nurnoch 5

ich versteh aber dein problem nicht.
du scheinst keine internetverfügbarkeitsprobleme zu haben.
wo ist das problem sein produkt kurz online zu aktivieren und dann in offline mode zu gehen?

wenn du rein aus prinzip eine weitere software nicht installieren willst, dann hat sich das erledigt und ist verständlich.

Mein Problem ist, dass ich, um ein gekauftes Spiel spielen zu dürfen, gezwungen werde, eine Software zu installieren und mich irgendwo anzumelden. Der Zwang also stört mich. Und wenn ich das nicht will, muss ich auf dem PC auf das Spiel verzichten, eine andere (legale) Alternative hab ich nicht.

ein mmorpg kann man auch nicht ohne einen "login" spielen.
genau dasselbe ist es halt mit steam.

Äpfel ... Birnen

auf jedenfall besser als origin, starforce oder ubi-launcher.

Also ich find alle gleich schlimm und gleich nutzlos.

natürlich wenn jemand seine spiele ständig weiterverkaufen möchte sowie

Mit gehts da aus Prinzip eben auch um das Recht, meine gekaufte Ware auch weiterverkaufen zu dürfen. Ob man das dann nutzt oder nicht ist erst einmal unerheblich.

klar würde ich eine komplett-platformlose entwicklung begrüßen.
aber solange es bei steam bleibt, bin ich noch zufrieden und kann damit leben.
eine andere platform z.b. origin. kommt mir nicht auf die platte

Wie gesagt, die Salami-Taktik der Pusblisher über die letzten 10-15 Jahre hatte wohl Erfolg

 

[doomkeeper]

@ mendos

du musst mir nicht meine antworten im mund umdrehen wenn
du einfach keinen bock auf das programm hast.

ich versuche lediglich beispiele und fakten aufzuzählen um in
diesem thema etwas voranzukommen.

wenn DU für etwas sinnlos etc. hälst, dann bringt es nix irgendwie darüber
zu schreiben.

ich könnte jetzt wieder auf deine "zitate" eingehen, aber
das wär ein teufelskreis da du dich stur stellst

wenns jemand mag, wirds nutzen, wer nicht dann halt nicht.

ich finde an so einer platform grundsätzlich nix negatives wenn es human zugeht
und eine gute firma dahinter steckt.
außerdem kommt man im e-sport sowieso nicht an steam vorbei.

nicht immer bleibt alles beim alten, und wenn man
mit etwas nicht klarkommt, dann lässt man es eben sein

ich versteh trotzdem nicht was daran so schwer sein soll nen account mit einer emailadresse aufzumachen.

und mein beispiel mit mmorpg ist keineswegs " apfel - birnen "
ich habs nur vom prinzip gemeint.

ein mmorpg kann man auch nicht ohne einen account spielen.
name, password, vll email.

was daran nun wirklich schlimm sein soll bleibt mir ein rätsel.
spionagefälle gibts und gabs nie bei steam.
vll die ersten jahre paar stabilitätsprobleme und das wars auch schon.

als user der ersten stunde kann ich beim besten willen nix schlechtes über steam sagen
und genieße / spiele / aktiviere alle spiele die ich spielen will zu jederzeit
ohne ein einziges problem zu haben.

aber naja, muss jeder selbst wissen

 

[MisterSmith]

...
als user der ersten stunde kann ich beim besten willen nix schlechtes über steam sagen
und genieße / spiele / aktiviere alle spiele die ich spielen will zu jederzeit
ohne ein einziges problem zu haben.
...

Wenn man es nur aus seinem eigenem Standpunkt betrachtet mag das vielleicht stimmen, aber es gab wieder einen Thread im PCG-Forum.
Da wurde einem der komplette Steam-Account gesperrt, da er bei MW3 auf einen gehackten Server gelandet ist. Stelle ich mir nun vor, ich würde bereits über 100 Spiele über Steam erworben haben und bin dann auf die Hilfe eines wahrscheinlich unter bezahlten Service-Mitarbeiters angewiesen, nein danke.

Dort arbeiten auch nur Menschen und die machen wie alle anderen auch Fehler. Der Punkt ist aber, ich hätte absolut keine rechtlichen Mittel gegen einen Fehler vorzugehen, da der Account von Steam einem nur zur Verfügung gestellt wird.

Das ist jetzt nur ein Beispiel und die Wahrscheinlichkeit liegt wahrscheinlich nicht höher als 3% das einem so etwas oder ähnliches passiert, aber 3% sind mir immer noch zu hoch.

Aber mit Origin hast du Probleme. Ist dir eigentlich bewusst das du indirekt Origin überhaupt erst ermöglicht hast? Das ist schon irgendwie kurios, das ausgerechnet die Leute am meisten über Origin jammern, ohne die es Origin in dieser Form sehr wahrscheinlich nicht gegeben hätte.

 

[doomkeeper]

ach komm mendos.

warscheinlich, vielleicht, deshalb etc.. ist das dein ernst?

nur weil man eine platform akzeptiert welches lediglich einen account sowie produktaktivierung erfordert,
heißt es noch lange nich dass ich mir freiwillig Spyrigin installier.

und wie ichs schonmal erwähnt habe.
es ist alles vertrauenssache. ich informier mich rund um valve wirklich genau und lang genug um zu wissen
welche politik sie verfolgen.

hast du EA´s politik verfolgt die letzten paar jahre?

ich vertraue valve weil sie mich nicht enttäuschen, ihre spiele alle sehr hochwertig sind und sie kümmern
sich um ihre fans und verlangen oft nicht mal geld für content bzw. stellen komplett vollversionen kostenlos zum
aus.

ich möchte hier nicht wieder origin vs steam anfangen weil viele mit diesem thema nix anfangen können.

origin ist nicht dasselbe wie steam, das wurde schon mehr als genug durchgekaut mitlerweile denk ich
steam ist für den user da, und origin nur für ea.
während man in steam die kontrolle hat, hat man diese (vor allem wie es am anfang gedacht war) bei origin nicht.
es war bekannt als ein programm welches nach daten sucht für werbung und marketingzwecken.

da sieht man den unterschied von einem unternehmen welches sich an die spieler richtet - und einem unternehmen
welches immer mehr und mehr von Jedem kuchen in der Branche haben will.

oder kannst du mir erkären warum EA es übertreiben muss?
hätten sie alles optional angeboten bzw. lediglich die optionale hardware umfrage wie bei steam,
dann hätte kein schwein etwas gesagt.

aber EA zwingt einen wirklich alles zu machen was sie wollen.

valve versucht lediglich u.a. mit dieser drm maßnahme den schaden etwas zu reduzieren.
dass natürlich alles geknackt werden kann ist klar.

aber wenn man so denken würde, dann könnte man auch seine haustür offen lassen, auto nicht mehr zusperren,
polizei abschaffen.
warum? ne tür kann man eh aufknacken, auto kann man kurzschließen, verbrecher sind 90% eh im vorteil gegenüber
der polizei.

wie gesagt. ich kann valve da durchaus verstehen und finde nix verwerfliches daran.
früher oder später wird sowieso alles zugemüllt mit platformen und anbietern wo man keinen durchblick mehr
haben wird.
umso mehr bin ich froh lieber bei valve mit im boot zu sitzen statt EA oder was noch so kommen wird.

hat nix mit fanboy zu tun o.ä. nur ich bin realist.
dieser trend ist leider nicht aufzuhalten und man muss schauen wie man sich zurechtfindet.
sich beschweren bringt leider nix.

ABER. man kann zeichen setzen z.b. wie im falle bei Origin.
damit die Entwickler nicht zu viel narrenfreiheit haben und eine fast unfertige spyware
unter die leute schmeissen wollten.
dass sie jetzt etwas ändern müssen, haben wir erreicht.

aber gegen so eine art von software wirds wohl früher oder später kein entkommen sein.
so leid es mir auch tut.

und genau deswegen mach ich mir um dieses thema eigentlich gar keine gedanken.
ich hab mein geld bei valve bzw. steam angelegt.
haufen spiele, war e-sport aktiv, haufen freunde und keine probleme mit steam.

da ich weiß dass keine andere platform auf meine platte kommt kratzt mich dieses thema
eigentlich nicht besonders.

 

[Mendos]

@ doomkeeper

Der letzte Post war nicht von mir ...

Ich sehe nicht, wo ich deine Antworten rumgedreht hätte. ^^

Es geht nicht darum das es kompliziert wäre einen Account einzurichten oder sonstwas. Und mir ist es wie gesagt auch egal, welches DRM dahinter steht, es geht mir primär nicht um Steam. Ich zitiere mich kurzerhand mal selbst:

Mein Problem ist, dass ich, um ein gekauftes Spiel spielen zu dürfen, gezwungen werde, eine Software zu installieren und mich irgendwo anzumelden. Der Zwang also stört mich. Und wenn ich das nicht will, muss ich auf dem PC auf das Spiel verzichten, eine andere (legale) Alternative hab ich nicht.

Soll's doch jeder nutzen der's will. Hab ich doch nichts dagegen. Ich hätte nur eben gern für mich auch ein Angebot vohne Zusatzsoftware und Account-Bindung und ähnliches. Das Angebot wird aber eben nicht gemacht.

Und ja, ein MMORPG kann man definitiv nicht mit einem reinen Single-Player Spiel vergleichen, da ersteres vom Konzept her eine Internetverbindung und einen Account benötigt. Im Singleplayer ist das unnötiger Firlefanz.

Dieser ganze DRM-Unsinn hat bei mir in diesem Jahr dazu geführt, dass ich nurnoch genau ein Retail-Spiel gekauft habe, nämlich The Witcher 2. Ansonsten kauf ich fast nurnoch Spiele aus dem Indie-Bereich, DRM-frei. Für die aus dem Humble-Bundle muss ich dann noch nicht mal Windows booten, perfekt

 

[MisterSmith]

@ doomkeeper

Der letzte Post war nicht von mir ...
...

Ach die Antwort war an mich gerichtet? Ich hatte mich überhaupt nicht angesprochen gefühlt.

@Doomkeeper
Natürlich schreibe ich wahrscheinlich, vielleicht usw., denn ich weiß, dass ich es nicht mit Gewissheit weiß und selbst an dieser Aussage habe ich noch leichte Zweifel, auf die ich alleine nie gekommen wäre, wahrscheinlich.

 

[doomkeeper]

tut mir leid ich meinte mr.smith

für ein singleplayer spiel braucht man trotzdem kein internet.
das einzige wofür man internetbraucht ist wie schon oft gesagt
nur bei der produktaktivierung und account anlegen.

ansonsten offline-mode rein und automatische updates ausschalten

und ihr könnt eure singleplayerspiele spielen ohne "online" zu sein.

wobei sowieso der großteil immer online ist

 

[Worrel]

Da wurde einem der komplette Steam-Account gesperrt, da er bei MW3 auf einen gehackten Server gelandet ist. Stelle ich mir nun vor, ich würde bereits über 100 Spiele über Steam erworben haben und bin dann auf die Hilfe eines wahrscheinlich unter bezahlten Service-Mitarbeiters angewiesen, nein danke.

Wenn man sich nicht an die "unterbezahlten Service-Mitarbeiter" wendet, die genau dafür da sind, um einen entsprechenden Problemfall zu bearbeiten, sind die Spiele natürlich weg.

Der Punkt ist aber, ich hätte absolut keine rechtlichen Mittel gegen einen Fehler vorzugehen, da der Account von Steam einem nur zur Verfügung gestellt wird.

Das ist Blödsinn.
Du gibst Valve Geld für die Gegenleistung, ein Spiel spielen zu dürfen. Erbringt Valve diese Gegenleistung nicht, hast du auf jeden Fall irgendwelche Rechte, die dir helfen, an die dir zugesicherte Leistung zu kommen.

Welche Rechte/Paragraphen dafür zuständig sind, kann ich dir nicht sagen (inal), aber "Dienstleistung", "Service", "Softwarelizenz" dürften gute Recherche Stichworte sein.

 

[MisterSmith]

Wenn man sich nicht an die "unterbezahlten Service-Mitarbeiter" wendet, die genau dafür da sind, um einen entsprechenden Problemfall zu bearbeiten, sind die Spiele natürlich weg.

Ohne das ich speziell danach gesucht habe, hatte ich ein Beispiel gefunden, bei dem die Antwort in etwa lautete; der Fall ist abgeschlossen und an dieser Entscheidung wird sich nichts mehr ändern.

Das heißt für mich, wenn dieser abgeschlossene "Status" einmal vorhanden ist, bleibt es dann auch dabei, da kann man dann den Support so oft anschreiben wie man möchte.
Ändern wird sich nichts mehr...

Das ist Blödsinn.
Du gibst Valve Geld für die Gegenleistung, ein Spiel spielen zu dürfen. Erbringt Valve diese Gegenleistung nicht, hast du auf jeden Fall irgendwelche Rechte, die dir helfen, an die dir zugesicherte Leistung zu kommen.

Welche Rechte/Paragraphen dafür zuständig sind, kann ich dir nicht sagen (inal), aber "Dienstleistung", "Service", "Softwarelizenz" dürften gute Recherche Stichworte sein.

Da Steam ein Abo ist, hat man zwar vermutlich dieses Recht, aber in den Steam-AGB steht glaube ich, dass sich die Nutzungsdauer auf 30 Tage beschränkt.
Ansonsten hätten Leute deren gesamtes Konto ungerechtfertigter Weise gesperrt worden wäre, ziemlich sicher bereits geklagt.

Wenn ich mich nicht irre, wurden bei Gamestar zwei Rechtsanwälte dazu befragt und die haben diese Frage beantwortet. Ich werde nochmal schauen ob ich das Heft dazu finde, oder ob ich dieses bereits entsorgt habe.

 

[martog]

Seit wann muss man denn bei Steam für den Account was bezahlen?

 

[MisterSmith]

Seit wann muss man denn bei Steam für den Account was bezahlen?

Sorry, ich hätte besser kostenloses Abo schreiben sollen.

 

[doomkeeper]

Sorry, ich hätte besser kostenloses Abo schreiben sollen.

kostenloses abo?
wie kommst du auf "abo" beim steam?

doch nicht etwa weil man auf dieser platform seine spiele "aktiviert" oder?

es ist genau dasselbe wie früher auch mit cd key aktivierung welche man leichter umgehen konnte.

und falls du darauf anspielen willst dass eines tages "falls steam nicht mehr geben sollte"
man seine spiele nicht mehr spielen kann, dann muss ich dich leider enttäuschen.

es ist lediglich eine bibliothek wozu man halt durch mit oder ohne einer internetverbindung zugriff hat.
d.h. auch wenns mal kein steam geben sollte, wüsste ich nicht warum man alle seine spiele verlieren würde.

ein valve hat sich nicht nur 2 mal gedanken gemacht falls sowas eintreten würde.

aber du kannst ja dein "abo" vll gern erklären

 

[MisterSmith]

...
aber du kannst ja dein "abo" vll gern erklären

Muss ich gar nicht, macht Valve bereits.

Sie werden zu einem Steam-Nutzer („Nutzer“), indem Sie die Steam-Client-Software installieren und den Steam-Anmeldevorgang abschließen. Zusätzlich können Sie als Nutzer Zugang zu bestimmten Diensten, Softwareprodukten und sonstigen Inhalten („Abonnements“) erhalten, die Nutzern zur Verfügung stehen.
...
Jedes Abonnement gewährt Ihnen Zugang zu bestimmten Diensten, Softwareprodukten und anderen Inhalten auf Basis der Bedingungen der jeweiligen Abonnements und dieses Nutzungsvertrags.

Zusätzliche Bedingungen, die mit jedem solchen Abonnement verbunden sind („Abonnementbedingungen“), können auf die Nutzung des jeweiligen Abonnements Anwendung finden und werden jeweils Teil dieses Nutzungsvertrags.

Weiterhin können zusätzliche Bedingungen (beispielsweise Gebühren und Abrechnungsregelungen) unter http://www.steampowered.com oder innerhalb des Steam-Online-Dienstes bekannt gegeben werden („Nutzungsregeln“), und werden jeweils Bestandteil dieses Nutzungsvertrags.
...

Mehr Infos gibt es hier:
Steam Subscriber Agreement

 

[doomkeeper]

und wo soll dein abo sein?

hab ich schon gehört und gelesen dass in den agb´s was von abo drin steht.
aber was ziehst du für eine konsequenz daraus wenn ich fragen darf?

nen link und ein zitat reintun kann ich auch, aber was bedeutet das für dich?

es stehen auszüge über ein sogenanntes abo drin, korrekt.
aber war in den ganzen jahren noch nie ein thema soviel ich weiß.

und wenn man jetzt auf jede kleinigkeit in der eula stürzt, dann können wir ruhig rüberschwenken
auf apple, microsoft etc.

und sowas ähnliches wirst du nämlich nahezu überall finden was
mit portal, netzwerk oder store zu tun hat.

 

[MisterSmith]

...
nen link und ein zitat reintun kann ich auch, aber was bedeutet das für dich?
...

Das bedeutet für mich, ich habe dadurch(Abo) zu keinem Zeitpunkt einen Anspruch auf ein Nutzungsrecht der erworbenen Software, was auch etwas weiter unten im Nutzungsvertrag klar bestätigt wird.

Valve räumt Ihnen hiermit ein beschränktes, kündbares, nicht exklusives Nutzungsrecht in Bezug auf die Software zu Ihrer persönlichen Nutzung gemäß diesem Nutzungsvertrag und etwaigen Abonnementbedingungen ein.

Mit den 30 Tagen lag ich falsch, es waren glaube ich 90 Tage, die einem Valve bei der Nutzung ihrer Software über Steam freiwillig einräumt.
EDIT: Es waren jedenfalls mal um die 90 Tage, kann sich mittlerweile natürlich geändert haben.

 

[doomkeeper]

Das bedeutet für mich, ich habe dadurch(Abo) zu keinem Zeitpunkt einen Anspruch auf ein Nutzungsrecht der erworbenen Software, was auch etwas weiter unten im Nutzungsvertrag klar bestätigt wird.
Mit den 30 Tagen lag ich falsch, es waren glaube ich 90 Tage, die einem Valve bei der Nutzung ihrer Software über Steam freiwillig einräumt.
EDIT: Es waren jedenfalls mal um die 90 Tage, kann sich mittlerweile natürlich geändert haben.

hmm.. also wenn ich ehrlich bin, kann ich aus diesem "abo" absatz rein gar nix herausnehmen.

es hat sich zu den alten zeiten rein gar nix geändert, weil man nur eine lizenzkopie kauft und nutzen darf.

das was sich auf dem datenträger befindet gehört niemanden.
lediglich dass man es benutzen DARF. aber es ist kein eigentum.

so war das schon immer. und da steam (platform) runtergeladen wird, gehört einem "steam" genauso wenig.

"kündbar" interpretier ich als den "ban" oder eine "accountsperre"
wieso, weshalb, warum? - ist ein anderes thema und passt nicht mehr rein.

kurz und knapp. einem "spieler" gehört eigentlich gar nix. außer vll das handbuch und der datenträger selbst ABER
nicht der inhalt.

somit erklärt sich für mich dieser von dir zitierter absatz.
aber ich lass mich gern eines besseren belehren.

allein schon wenn man diesen absatz mal durch die suchmaschinen loslässt, liest man sowas
nahezu überall.

edit.
die zeiten ändern sich für uns kunden, aber auch für die hersteller.
die kunden werden schlauer und versuchen so viel wie möglich
FÜR wenig wie möglich zu ergattern,

dass dies ein dorn im auge eines publishers / herstellers geworden ist
(sie werden ja auch "schlauer") kommen eben solche verträge zustande
um sich vor irgendwas abzusichern bzw. die kunden mehr oder weniger
an die leine anhängen.

aber so hat es sich nunmal entwickelt und es werden viel mehr "trends" aus
der digitalen Welt folgen wo die kunden immer mehr an freiheit verlieren werden.