Browser Game Betreiber können anscheinend passwörter einsehen

Browser Game Betreiber können anscheinend passwörter einsehen

Impressum | Werbung

Geizhals » Forum » Security & Viren »

Browser Game Betreiber können anscheinend passwörter einsehen (32 Beiträge, 1327 Mal gelesen)

Top-100 | Fresh-100

Du bist nicht angemeldet. [ Login/Registrieren ]

Hi!

Bin gerade bei einem browser game wegen eines multi accounts gesperrt worden - stimmt zwar nicht da ein account meinem bruder gehört aber egal, darum gehts mir hier ja gar nicht.

Was mir aber wirklich ein bisserl sorgen gemacht hat war der grund für die Sperre, hab mit dem support gesprochen und der meinte, dass dies aufgrund der gleichen ip und des selben passworts geschehen ist.

Da ich weiß dass mein bruder für unwichtige seiten das selbe passwort wie ich verwendet ist die begründung des supports auch nachvollziebar.

Ich finds aber schon ein bisserl seltsam dass die betreiber so leicht einsicht in die passwörter der user haben - hätte mir eigentlich gedacht dass solche wichtigen daten verschlüsselt abgelegt werden aber anscheinend kann da jeder der möchte die passwörter der user auslesen.

fühl mi grad in meiner ansicht bestätigt dass es extrem wichtig is verschiedene passwörter für wichtige und unwichtige seiten zu haben

Welches Spiel?
Gabs bei hattrick auch - wurde angeblich geändert..

in diesem fall gehts um

http://www.wildguns.de/

Naja Moment! Dass die Passwörter ident sind äussert sich auch darin, dass der Hash-Wert der Passwörter ident ist.
Somit muss der Betreiber in deinem Fall nicht unbedingt das Passwort als solches lesbar zur Verfügung haben.
-----
The day Microsoft makes something that doesn't suck is probably the day that they start making vacuum cleaners.
-----
Intel C2D E8500 | Kingston Hyper-X 4GB PC2-6400U CL4 | ASUS P5Q | Sapphire Radeon 4870 Toxic | Enermax PRO87+ 500W | Corsair X128 | 3TB SATA-HDDs | ASUS Xonar Essence ST | Logitech G7

07.09.2010, 20:18 Uhr - Editiert von [DUCK]Butcher, alte Version: hier

ok - das hab ich nicht gewusst, auf grund der antwort die ich vom support bekommen habe bin ich davon ausgegangen dass die einfach passwörter verglichen haben. Wenn dies auch mit den hash-werten funktioniert dann ist's eh kein problem.

Ich hab nur die email des supports seltsam gefunden und ihnen dass auch in meine antwort mitgeteilt.

So isses... wollte ich auch gerade anmerken.
----------------------------------------------------------------------------------
Q9650, ASUS P5Q-E, 4x2GB CL5, Gainward 4870x2, X-Fi Titanium, Sennheiser PC 350, DELL 2407, G15 R, MX518, ANTEC P182SE Chrome Edition, BeQuiet 550W DarkPower, RAID1 2x640GB WD Black @ LSI 9650-2LP, Windows 7 Professional

und weiter?
viele betreiber speichern passwörter in plaintext.
dieses forum übrigens auch.
rapidshare auch
hotfile auch
usw usf

und ansonsten übern hashwert, wie hier schon geschrieben wurde

passwörter in plaintext.
dieses forum übrigens auch.

Wurde nicht nur der Cookie dahingehend geändert?!

wenn ich mjy richtig verstanden hab, ist es verschlüsselt gespeichert

mfg
AVS

Seit wann??
Vor ein paar Wochen fand er es noch lächerlich und wollte seine Benutzer dadurch erziehen.

ja im cookie.
in der db immer noch plaintext.

klick auf die passwort vergessen funktion, dann weißt es.

bo©op™not amused
Proud not to be in Fa[r]cebook

nicht mehr

Doch, noch immer.

Da ich weiß dass mein bruder für unwichtige seiten das selbe passwort wie ich
verwendet ist die begründung des supports auch nachvollziebar.

nenn mir einen....

naja ich kanns schon verstehen dass die betreiber unsere acc. gesperrt haben - für die muss es ja wirklich nach multi account ausgesehen haben, gleiche ip, selbes passwort das deutet ja alles irgendwie darauf hin.

aber wie gesagt darum gehts mir eigentlich gar nicht, sondern um die passwort geschichte - aber das hat sich ja eh schon aufgeklärt

Well, DUUUUUH!

Mal davon abgesehen, dass man zur Feststellung ob das Passwort ident ist nicht das Plaintext-Passwort haben muss (wurde ja schon abgehandelt), aber kann jemand dem man Daten schickt auf diese Daten Zugriff haben?

Ist nur meine Antwort darauf "nonaned" oder ist das offensichtlich?

________________________________________________________________________
There's a typo in the Bible.
It should read "The geek shall inherit the earth".

schon klar dass die betreiber zugriff auf die daten haben wenn sie möchten, allerdings dachte ich mir immer, dass die nicht einsichtnahme in fremde passwörter unter netiquette fällt.

Mhm. Und du glaubst daß da wer manuell die Passwörter und IP Adressen verglichen hat?

Sischer, genauso wie die Nichtweitergabe von persönlicher Information...

________________________________________________________________________
There's a typo in the Bible.
It should read "The geek shall inherit the earth".

Mal abgesehen davon, dass ich den Witz des TE-Postings nicht verstanden habe (siehe nonanet)....

Mal davon abgesehen, dass man zur Feststellung ob das Passwort ident ist nicht das Plaintext-Passwort haben muss

verstehe ich auch nicht |-/.

Wenn man schon brav hashed - dann verwendet man ja Salt, wie beispielsweise in der crypt-Funktion:

#define _XOPEN_SOURCE
#include <unistd.h>

char *crypt(const char *key, const char *salt);

Ich halte es für massiv unwahrscheinlich, dass genau bei 2 Benutzern mit demselben Kennwort zusätzlich dasselbe Salt verwendet wird... Wenn ja, sollte man sich über die Salt-Auswahl nochmals den Kopf zerbrechen...

Ich würde daher von Haus aus vermuten, dass dieselben Hashes bei Usern nur eines bedeuten können: Dass das Password im Plaintext gespeichert wurden
(denn wenn wer auf Security Wert legt, wäre gesaltet worden).

Es kann sein, dass sie es verschlüsselt haben, dennoch kann man sehen, ob zwei Accounts dasselbe Passwort verwenden.
meist sind die Passwrter als MD Hashes gespeicehrt und da geben selbe Passwort natürlich auch den sleben Hash Code aus. Vergleicht man die, kann man auch ganz einfach erkennen, ob es sich umdasselbe Passwort handelt.

dann mus sman sie eben salzen :D
_________________________________________________________________
Na Server's heast...

Huuups...

Da warst schneller als ich: (Hoffentlich sagt das deine Frau nicht auch öfters

)
http://forum.geizhals.at/t718210,6161632.html#6161632

Desolation war schneller als ich...

Du hast da mehrere Fehler:

meist sind die Passwrter als MD Hashes gespeicehrt

1.) MD5 ??? Man soll nicht mal mehr SHA-1 verwenden, und irgendwer verwendet MD5 für Security-Relevantes ??? Das traue ich nicht mal den "Ich werd jetzt Webmaster"-Typen zu.

2.) Hashes _ohne_ Salt ? Wie krank wäre das denn ?

3.) Meist ? Ich hoffe doch, dass seit den 70ern keiner mehr _sooo_ dumm ist.

Ja, konnte nur darüber berichten wie das war, als ich vor einigen Jahren als Jugendlicher bei einer Browsergamefirma mitgearbeitet habe. Aber irgendwelche Hashes (wenn auch nicht MD5) wird es vermutlich auch heute noch geben. Bin ja auch kein Programmierer.

Hashes sind ja per se nicht schlecht...

- Wenn sie sauber sind (MD5 und SHA1 sind das nicht mehr)
- Wenn sie gesalzen sind.

Daher kann es nicht sein, dass 2 selbe Kennworte auf denselben Hash gehen.

Browser Game Betreiber können anscheinend passwörter einsehen

Das ist besonders lustig, weil die meisten Menschen nur ein Passwort verwenden, hat man das kann man sich beim Emailaccount einloggen und auf diversen Websites (Facebook) ein neues Passwort zuschicken lassen.

In der Regel muss man nicht mal ein Onlinegamebetreiber sein, es reicht aus beim Emailanbieter ein neues Passwort über die Geheimfrage zu bekommen.
Den Mädchennamen der Mutter oder das erste Haustier lassen sich leicht herausfinden.

14.10.2010, 16:10 Uhr - Editiert von Diabolo2000, alte Version: hier

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung