Sicherheit bei SG

[Gast Dobermann83]

Sowie der Truppführer vorhat die Truppe aufzulösen und die Truppe als letzter verlässt, ob böswillig oder nicht, bleibt die Truppe (ohne Mitglieder) dennoch bestehen für 72 std. Die Truppe sollte dann vielleicht nicht mehr angreifbar sein für andere Truppen in diesem Zeitraum. 3 Tage deshalb, da an einen Freitag Nachmittag so ein Spaß stattfinden kann und Montag, wo der Support wieder am Werkeln ist, rechtzeitig noch handeln kann.

[Netter_Zivilist]

Ich weiß nicht ob das machbar ist...Aber eine IP Überprüfung..sollte die IP die den Auflösungsantrag stellt anders lauten als die normale genutzt vom Truppführer wird der Antrag gesperrt.

[sebbo]

Der beste Schutz, um sich gegen Truppenauflösungen zu schützen ist, das Passwort nicht weiter geben. Auch wenn man den andern schon noch so lange kennt und er das ja nieeeeeeeeee tun würde. In Kombination mit einem sicheren Passwort sollte dem Spielspaß nichts mehr im Wege stehen.

[-Steel-]

Und wieder wurde eine Truppe Gelöscht.

Diesesmal haben die Hacker sich die German_Hunters ausgesucht.

Bin der meinung SG kann sich nicht länger hinter dem lapidaren Vorwurf " Passwort weitergabe " verstecken, und sollte zusätzliche Sicherheitsmechanissmen einbauen.

Ich habe vom TF der German_Hunters erfahren das niemand sein Passwort hatte. Da stellt sich mir die Frage wie sicher ist das Spiel denn überhaupt.

Denke da nicht nur an die Leute die ihren Account mit Echtgeld pushen sondern an alle. Denn es steckt ja viel zeit und geduld dahinter sich seinen Account so aufzubauen wie man ihn haben möchte.

Der Button zur löschung eines Accounts oder Truppe sollte nur mit einer Bestätigung an der angegebenen E-Mail Adresse ausgeführt werden. Genauso wie die änderung der E-Mail Adresse.

Dann könnten Hacker maximal die Mitglieder einer Truppe entlassen, aber nicht mehr.

Gruß Steel

[bella]

Selbst dann wäre es nicht sicher, der "Saboteur" würde die Krone dann an einen Spieler übergeben wo er emailzugriff hat und schon kann dieser mit der Krone die Truppe löschen. Allerdings gebe ich dir recht das es eine Sicherheit geben sollte. Es werden immer mehr Truppen...

E-mail Bestätigung des Truppf. bei Kronenweitergabe und/oder Löschung der Truppe halte ich für längst überfällig...

[dennidollar1992]

die idee ist echt mal eine große überlegung wert!!

[Gast PastorOfMuppets]

Ich weiß nicht was es da zu überlegen gibt.^^ Bestätigung an die Mailadresse der Goldkrone und schon ist es schwieriger. Denn so bräuchte man nicht nur Zugang zum Account sondern darüber hinaus auch noch zum Mailaccount.

Blöd nur für die, die in der virtuellen Welt 1 Passwort für alles nutzen.

[stefanr85]

Traurig genug, dass man um Sicherheit diesbezüglich betteln muss....

Bei einigen geht´s hier um Echtgeld, welches verloren geht und weg ist. Da besteht schleunigst Nachbesserungsbedarf.

[Rollendes_Ei]

oki - der Hacker verschafft sich Zugang zur SG-DB ... Accounts mit PW sind dort hinterlegt ... schwupps rin in die Kiste ...

der Mail-Acc is dort auch zu finden oder im Acc selbst ... schwupps wird ne PW Abfage beim Mail-Acc gemacht und schon is alles geritzt. Das funzt - und in den Underground-Foren gibts Proggis zuhauf, die das selbst für Laien durchführbar machen.

Und da ich so vermute, dass SG mehr via Lowcost daher kommt, dürften die Sicherheitsbarrieren nicht so das Problem darstellen für die, die es drauf anlegen.

Meine Vermutung geht soweit, dass da an den Accs selbst manipuliert wird, da man ja via DB wohl Werte ändern kann. Dies wird dann recht unauffällig gemacht. Und ich denke mal nicht, dass Unikat Plausibilitätsabfragen kontinuierlich macht, ob die Veränderungen mit vorherigen - dazu notwendigen Aktionen - korrelieren.

Und: es gibt nur ne Menge PC-Freaks unter den Gamblern.

Aber tut es ruhig ins Reich der Fabeln ab ... aber man weiß was man weiß und welche Möglichkeiten in der virt. Welt so machbar sind - wenn man es denn will.

[Gast PastorOfMuppets]

Na soweit würde ich mich jetzt nicht aus dem Fenster lehnen. Denn über die Sicherheitsmechanismen der Unikat Media kann man höchstens mutmaßen. Daher jetzt bitte keine Panikmache. Dieses Prädikat steht eher der BILD zu.^^

[Rollendes_Ei]

ach watt :-)) soll nix mit Panikmache zutun haben ... war bloß mal nen State.

Doch mal ein kleines Beispiel: Ich führe versheindenste Projekte durch. Damals zeigte mir einer der TN, wie er sich Zugang zur Bundesagentur für Arbeit verschaffte - dann in den entsprechenden AA-Bezirk, danach zeigte er die Daten von ALG II Empfängern und dass er die Zahlbeträge und anderes ändern könnte. Und alles mit *Underground-Hacking-Equipment*, das sich jeder aus dem Netz herunterladen kann - wenn er denn weiß - wo man es findet.

Und ich denke mal, dass die BA recht abgesichert ist - oder :-)) und dafür mehr investieren kann als es Unikat oder deren Hoster je könnte.

Alles ist halt mittlerweile möglich - nur so recht glauben will keiner daran.

Bestes Beispiel sind auch die ach so tollen Smartphone Apps - die werden hier ja auch genutzt - diese Phones - und jeder Spackenkram drauf geladen und wer liest die Daten, wer verschafft sich Zugang etc.?

[stefanr85]

Der erste Beitrag in diesem Thread ist vom 04. September, wo dieses Problem bekannt wurde! Heute ist der 27.01.2013! Es hat sich GARNIX getan. Traurig!

Hierzu hätten wir, ich denke ich spreche für einige hier, gerne mal ein OFFIZIELLES Statement, warum in dieser Sache nix unternommen wird. Allein an der PW-Weitergabe scheint es ja nicht zu liegen, wenn die TF´s die PW´s nicht rausgeben!

Man erhält den Eindruck, euch interessiert es garnicht, was passiert. Hauptsache Events, Events und Event´s, 2 Endgegner in der Woche, damit die Leute Patronen kaufen ( sollen Sie ja auch, Ihr müßt ja auch Geld verdienen), aber die Nutzer müssen auch sicher sein, dass Ihr eingesetztes Geld geschützt wird, mit allen Mitteln die Ihr habt und diese sind bei weitem nicht gegeben!!!

[Gast PastorOfMuppets]

Von Tools mit denen man Quelltextwerte editieren und sich anzeigen lassen konnte hörte ich. Nur abspeichern war nicht möglich. ;D

[-Steel-]

Leute... machen wir uns nichts vor jedes schloss ist knackbar.

Aber der Betreiber hat die Pflicht es den Hackern so schwer wie möglich zu machen. Dies ist jedenfalls meine meinung dazu.

In den meisten BG gibt es die sogenannten Hackshield, davon habe ich hier noch nichts gesehen.

Denn wie stefanr85 schon erwähnte es geht dabei nicht nur um Spielgeld !!!!!

[Gast Koppi]

Ich habe jetzt ein gleiches Thema vom 05.09.12 mit diesem hier verbunden und es vorangestellt.

Bitte lest dazu auch die Posts dazu.

Es ist nicht die Frage ob ein Sicherheitsmechanismus für Truppen kommen muß , sondern eher welcher .

Zur Zeit stehen 2 Varianten zu Diskussion :

Variante 1 :

Zusätzlicher Schutz durch email Bestätigung des Truppführers ( So wie hier von euch schon vorgeschlagen )

Nachteil hierbei:

Der Truppführer kann auch weiterhin ohne den Willen der Truppenmitglieder willkürlich die Truppe auflösen.

Auch muss der email Zugang nach dem Wechsel der Truppführung geändert werden , dies setzt die Mitarbeit des alten Truppführers voraus.

Variante 2 :

Eine aufgelöste Truppe bleibt für min. 72 h in der Datenbank erhalten. ( So wie vom SG Team jetzt intern diskutiert )

Somit kann eine feindlich aufgelöste Truppe wieder von den Spielern besetzt werden und die die Stützpunkte sind nicht verloren.

Nach geprüften Support Ticket würde die leere Truppe wieder in die Spielwelt gesetzt werden und die Zugangsdaten den Membern mitgeteilt werden.

Habt ihr weitere Vorschläge ? - Immer her damit.

[stefanr85]

Ich habe jetzt ein gleiches Thema vom 05.09.12 mit diesem hier verbunden und es vorangestellt.

Bitte lest dazu auch die Posts dazu.

Es ist nicht die Frage ob ein Sicherheitsmechanismus für Truppen kommen muß , sondern eher welcher .

...

Variante 2 :

Eine aufgelöste Truppe bleibt für min. 72 h in der Datenbank erhalten. ( So wie vom SG Team jetzt intern diskutiert )

Somit kann eine feindlich aufgelöste Truppe wieder von den Spielern besetzt werden und die die Stützpunkte sind nicht verloren.

Nach geprüften Support Ticket würde die leere Truppe wieder in die Spielwelt gesetzt werden und die Zugangsdaten den Membern mitgeteilt werden.

So wie vom SG Team jetzt intern diskutiert......Seit wann wird das diskutiert? Seid dem 05.09.? Warum wird das nicht einfach mal umgesetzt? So wird wenigstens Gewährleistet, dass die ganze Arbeit nicht für die Katz war! Auch wenn es noch nicht das non-plus-ultra ist, finde ich es als Übergangslösung super.

Ich versteh aber auch nicht warum die Community sich jetzt um das Thema kümmern soll. Von denen verdient keiner Geld dafür (ja ich weiß Mod´s auch nicht ) Da können sich die Roten schon selber einen Kopf machen und was Präsentieren.

bearbeitet 27. Januar, 2013 von stefanr85

[Rollendes_Ei]

@Pastor

Werte anzeigen lassen bringt ja nix - ich denke, dass die eben in der DB auch abgespeichert werden müssen und dazu man denn auch in der DB drin sein ... was aber mit den notwendigen Instrumenten möglich ist - immer unterstellt, dass es eben diese *böswilligen* User gibt.

[Gast PastorOfMuppets]

Vielleicht ist es ja etwas blauäugig und naiv zu glauben man hat hier einen Schutz seiner Stammdaten. Doch diesen Gedanken möchte ich mir gerne bewahren. Zum Glück ist bei SG "nur" die Mailadresse hinterlegt.

Ich bestreite nicht das es findige Progger mit ausreichend krimineller Energie schaffen könnten, sich in die Server zu hacken und Unfug zu treiben. Doch diese fallen irgendwann auf und werden durch staatliche Organe verfolgt.

Nur wo kämen wir hin, wenn wir alle Betreiber von irgendwelchen Seiten dermaßen als Dilettanten aufzeigen, die nicht in der Lage sind ihre Datenbanken zu schützen?

Finde ein gewisses Maß an Vertrauen sollte man diesen Betreibern schon zugestehen.

[-Steel-]

Ich wäre für Beide.

Zusammen bilden sie doch eine gute vorraussetzung das Truppen nicht einfach von der Bildfläche verschwinden können.

Genauso sollten aber auch die einzelnen Accounts geschützt sein.

Zumindest sollten sie bei einem Hackangriff wieder herstellbar sein.

[bella]

Variante 2 finde ich super, damit hat die goldene Krone auch nicht allein die Entscheidungsgewalt, denn man darf nicht vergessen das jeder Spieler den Stützpunkt mit aufbaut...

[stefanr85]

Ich wäre für Beide.

Zusammen bilden sie doch eine gute vorraussetzung das Truppen nicht einfach von der Bildfläche verschwinden können.

Genauso sollten aber auch die einzelnen Accounts geschützt sein.

Zumindest sollten sie bei einem Hackangriff wieder herstellbar sein.

Versteht mich nicht falsch. Wenn man ein Backup hat, ist das ja i.O. Auch wenn es, ich sag mal eine Woche alt ist, die Arbeit kann man schnell wieder aufholen. Die Arbeit von über einem Jahr hingegen nicht und darum geht es einfach.

[Springsteen]

ich hätte nen weiteren Vorschlag, denn email Änderung oder wie der Vorschlag war, ist sinnfrei. Wer hackt, hackt das ganze bis zum Schluss. Daher muss was weitreichenderes her. Ne Art "Personifizierung" kommt mir dabei in den Kopf. Diese sollte freiwillig gemacht werden können, da ja nicht jede 3-mann-gruppe das macht, weil deren Aufwand sicht kaum bemerkbar macht (reines Beispiel jetzt).

Aber wie soll die "Personifizierung" aussehen. Da gibt es verschiedene Wege...

1. ..einer wäre, jeder Truppführer muss sich samt Personalausweis ablichten lassen und schickt dieses an Unikat

2. ..ein anderer wäre, jeder Truppführer muss sich per Telefon und einem Kennwort, welches er natürlich schlauerweise nicht auf seinem Rechner abspeichert, identifizieren.

Ich denke, da gibts noch bessere Vorschläge, aber eurer Vorschlag 1 ist meines Wissens/Erachtens leicht zu knacken.

Wenn aber die 72-Stunden-Sperre schon eingearbeitet werden würde, wäre viel und allen geholfen.

bearbeitet 27. Januar, 2013 von Springsteen

[Gast Fish]

.......Fingerabdrücke und Irisscan fehlen noch .....

Was soll so ein Käse? Die Lösungen sollten doch letztendlich auch praktikabel sein.

Emailbestätigung reicht m.E. voll aus.

bearbeitet 27. Januar, 2013 von Fish

[Rollendes_Ei]

Sodele ... meine Meinung ist, dass zuviel "Gedöhns" die Leutz eher verschreckt. Weiter kommt hinzu, dass ich Unikat nich ne Copy vom Perso schicke ... :-) andere Variante wär denn noch PostIdent Verfahren ... man bedient sich der DE-Mail etc.

Deswegen: Vollständiges Backup und zwar täglich - ggf. Variante Opa-Vater-Sohn -

Kommt es zu ner Löschung, die nicht gewollt war und dies gemeldet wird - wird der letzte Backupstand (Vortag) hergestellt. Systemseitig neues Truppenpasswort. Dies an den TF gesandt - fertisch, oder?

Truppe verliert dann i.d.R. sehr wenig an Stützpunktwerten und Kassenwerten.

Bei Unikat liegt dann die aufgabe zu ermitteln, wie es zur Löschung kam, wer diese initiierte und dann gehört der Spacken gesperrt und alle Accs (Multis) mit dazu. Und nix mit Aussage meine Großfamilie von 100 Familienmitgliedern zockt über eine IP, eine ganze Kaserne zockt etc.

Lässt sich alles rechtssicher recherchieren geht Unikat straf- und zivilrechtlich gegen die Person vor.

Im Forum oder per Feldpost erfolgt ne allgemeine Info - Transparenz und so ... und es wirkt vielleicht mal abschreckend,

[lilienthal]

Lässt sich alles rechtssicher recherchieren geht Unikat straf- und zivilrechtlich gegen die Person vor.

Die Frage wäre allerdings,welcher Straftatbestand hier denn vorliegt.