Diablo 3 und Battle.net: Neues Sicherheitsfeature von Blizzard

[Elzix]

Weil eine SMS sicherer ist, wenn der Rechner wahrscheinlich eh schon kompromittiert ist.

Hier geht's doch eh nur um Passwortklau. Der Rechner hat da nichts mit am Hut. Andererseits, es gibt noch erschreckend viele Leute, die für jeden Dienst das selbe Kennwort verwenden. So macht's schon fast wieder Sinn, das nicht über Mail zu machen.

 

[Merawen]

Hier geht's doch eh nur um Passwortklau. Der Rechner hat da nichts mit am Hut.

Die meisten Battlenet Passwörter werden per Keylogger "geklaut".
Dass der Rechner da was mit zu tun hat, steht wohl ausser Frage.

 

[SCHMERZ]

Finde dieses Authenticator zeug total unpraktisch

1.Viel besser wäre doch, wenn ich nach 5 maligen eingeben des falschen Passworts erstmal nicht mehr auf den account komme oder sowas..

2.Woher soll man denn meine Email-adresse wissen?!?
Wenn man sich extra für seinen bnet account ein zweites google konto zulegen würde wäre man doch perfekt geschützt, wenn man es anderweitig nicht benutzt, oder was sagt ihr dazu?

 

[DanaScully]

1.Viel besser wäre doch, wenn ich nach 5 maligen eingeben des falschen Passworts erstmal nicht mehr auf den account komme oder sowas...

Das würde mich allerdings extrem nerven, wenn ich in nicht ganz nüchternem Zustand erst beim 6. Mal merke, dass die Caps Lock-Taste eingeschaltet ist und ich mich nun ohne weiteres nicht mehr einloggen kann.

 

[god0t]

Das würde mich allerdings extrem nerven, wenn ich in nicht ganz nüchternem Zustand erst beim 6. Mal merke, dass die Caps Lock-Taste eingeschaltet ist und ich mich nun ohne weiteres nicht mehr einloggen kann.

"Im nicht ganz nüchternen" Zustand oder völlig abgeschossen? Weil .. auch betrunken würdest Du nicht einfach 5 Mal das Passwort falsch eingeben. Würde ich fast drauf wetten.

 

[ikioineko]

Finde dieses Authenticator zeug total unpraktisch

1.Viel besser wäre doch, wenn ich nach 5 maligen eingeben des falschen Passworts erstmal nicht mehr auf den account komme oder sowas..

2.Woher soll man denn meine Email-adresse wissen?!?
Wenn man sich extra für seinen bnet account ein zweites google konto zulegen würde wäre man doch perfekt geschützt, wenn man es anderweitig nicht benutzt, oder was sagt ihr dazu?

Account-Diebstahl findet nahezu immer über Keylogger oder scams, die dich dazu bringen, deine Logindaten selbst irgendwo zu übermitteln, statt.

Damit wären beide deiner vorgeschlagenen Schutzmassnahmen schon umgangen.

In diesem Thread gehts btw nicht um den Authenticator, aber wenn du den schon erwähnst: Damit stünde der Dieb nach einem erfolgreichen Logindaten-Klau vor einem Problem, denn er müsste, sobald er von einer anderen IP einloggt als du, sofort den aktuellen Authenticator-Key eingeben.




Andererseits denke ich, dass bei nahezu allen Acc-Diebstählen Fahrlässigkeit des Acc-Besitzers mit im Spiel ist. Keylogger müssen auch erstmal irgendwie den Weg auf den PC finden, auf scams muss man auch erstmal reinfallen.

 

[CHEFFE]

Authenticatorzeugs gehört doch mittlerweile zum Sicherheitsstandard... Onlinebanking etc. find ich gut, einfach und nützlich

Dieser SMS-Dienst hört sich auch ganz gut an, aber halt ich nicht für notwendig :S

 

[Mugiwara]

Diesen Aufwand hast du mit dem neuen Feature auch, nämlich wenn dir dein Handy abhanden kommt
Aber so kann Blizzard nun auch noch Telefonnummer sammeln, clever gemacht

wen juckts. haben sie meine handynr. halt. finde das feature ganz cool und werds sicher nutzen.

 

[tjo]

wen juckts. haben sie meine handynr. halt. finde das feature ganz cool und werds sicher nutzen.

Leute, denen Datenschutz wichtig ist und die nicht - wie Lemminge - jeder neuen Idee hinterherlaufen, wenn sie dafür wichtige persönliche Daten preisgeben müssen.

Ich sehe es schon kommen, das Tresorpaket kopiere Deinen Reisepass und schicke ihn ein...ja solche "Funktionen" schaffen Vertrauen.

 

[Mugiwara]

Leute, denen Datenschutz wichtig ist und die nicht - wie Lemminge - jeder neuen Idee hinterherlaufen, wenn sie dafür wichtige persönliche Daten preisgeben müssen.

Ich sehe es schon kommen, das Tresorpaket kopiere Deinen Reisepass und schicke ihn ein...ja solche "Funktionen" schaffen Vertrauen.

und was will blizzard mit meinen daten? werbung schicken? oooohhh nein, mein mülleimer ist wieder nen bisschen voller.

bzw. sie an firmen verkaufen, die mir dann werbung schicken. wen juckts? ruft mich son umfrageunternehmen an, leg ich halt auf, werbung schmeiß ich halt weg. mich interessiert nen feuchten furz, wer meine daten hat. leute tun immer so, als ob leute sonst was mit ihrer telefonnummer oder ihrem richtigen namen anfangen könnten..

 

[tjo]

und was will blizzard mit meinen daten? werbung schicken? oooohhh nein, mein mülleimer ist wieder nen bisschen voller.

bzw. sie an firmen verkaufen, die mir dann werbung schicken. wen juckts? ruft mich son umfrageunternehmen an, leg ich halt auf, werbung schmeiß ich halt weg. mich interessiert nen feuchten furz, wer meine daten hat. leute tun immer so, als ob leute sonst was mit ihrer telefonnummer oder ihrem richtigen namen anfangen könnten..

Bei so einer Einstellung wundert mich gar nichts mehr, einfach nur unglaublich.

 

[Dietlaib]

Bei so einer Einstellung wundert mich gar nichts mehr, einfach nur unglaublich.

Tja, nicht jeder ist gayheim...





---
Sry, aber in meinem 1000sten Beitrag wollte ich auf jeden Fall Unsinn posten und auf die Schnelle hab' ich nichts Besseres gefunden.

 

[Palajinn]

bei denen der acc. gehackt wurde.... was für passwörter habt ihr denn? ca. 16stellen mit sonderzeichen und großen und kleinen buchstaben, ein paar zahlen, und schon habt ihr ein unknackbares passwort. wenn ihr das in einer textdatei hinterlegt, oder euch irgendwelche interfaces runterladet oder bots, dann wundert mich des nicht wenn ihr da schadsoftware auf euren pc spielt. ^^ schön blöd wenn man seinen rechner zumüllt. wer sich einen vorteil verschaffen will, der verschafft sie sich auch mit geld. also muss ich ja nur einen gosu bot schreiben, der nen keysniffer drauf hat. und dann weiß ich schon wo ich die milchkühe finde xD otto-normalbenutzer werden so extrem selten gehackt... und die die gehackt wurden sind wahrscheinlich dann schon so normal und vertrauen jedem x beliebigem des passwort an, oder kaufen sich gold auf e-bay und geben da accout daten her ^^...

und immer wenn ich jetzt mit dem handy agiere, soll ich 50c bearbeitungsgebühr via sms zahlen? xD kann mir vorstellen, dass bei dem traffic an sms im monat schonmal der ein oder andere 5er über die onlinetheke geht.

ich seh des nur als möglichkeit, und nicht als lösung. da die handy oder authenticator keine lösungen sind ^^ wer nicht mit seinen daten umgehen kann, sollte ruhig geld für son mist ausgeben. es ist aber trotzdem kein dummheits-kondom.

 

[Merawen]

...oder euch irgendwelche interfaces runterladet oder bots, dann wundert mich des nicht wenn ihr da schadsoftware auf euren pc spielt. ...

So verbreitet sich nur noch ein Teil der Keylogger.

Es reicht schon eine Webseite zu besuchen (drive by download). Dazu muss es noch nicht mal eine dubiose Webseite sein, reicht schon wenn eine Website die man kennt kompromittiert wurde.
So vor wenigen Wochen noch passiert, Hacker hatten sich root Zugriff auf den Servern von computec verschafft. Zu denen u.a. Pcgames, Pcgameshardware und buffed (grössere WoW Newsseite) zählen.
Neben dem Klau von Passwörtern, dem einbetten eines Keyloggern in allen Downloads, wurde auch so ein Keylogger per drive by download verbreitet. Dieser hatte es auf die Battle Net Zugangsdaten abgesehen, ein Authenicator
nutzte in dem Fall auch nichts (man-in-the-middle Angriff).
Zum Glück wurde zum verteilen eine manipulierter Werbebanner (welcher eine Java Sicherheitslücke in der aktuellen Version verwendete) benutzt, so dass Benutzer mit Addblocker verschont geblieben sind (oder welche halt kein Java verwenden).
Das ganze wurde erst nach über eine Woche bemerkt, und auch nicht an die grosse Glocke gehängt. Es gab auf den Seiten zwar eine News dazu, aber eine email Benachrichtigung für alle registrierten Benutzer gab es nicht.

Die Ansicht "ich lade nichts runter also kann mir nix passieren" ist veraltet.

 

[DameVenusia]

Dass sich Malware über Werbebanner einschleust, ist leider nicht ganz neu und derzeit wohl die gefährdenste Methode für Nutzer. Addblock kann auf Dauer auch keine Lösung sein oder NoScript oder das Abschalten von Java ( das aber noch am ehesten)

Man müsste dann die ganzen affiliate-Werbenetzwerke, Dienstleister etc. verpflichten, nur geprüften Code einzusetzen, bzw. eigenen Code der "Werbekunden" ganz verbieten.

Solange ist selbst der zeitnahe SMS-Nachrichtenschutz - auch hinterher - nicht sinnlos. Immerhin weiß man, dass da was passiert ist und kann seinen Rechner mal untersuchen (lassen) und ggf. Passwörter an anderer Stelle von einem anderen Rechner aus ändern. (Banking etc.) Ist ja nicht so, dass sofort mit Übermittlung der Daten eine (sichtbare) Manipulation stattfindet. Oft sind auf Seiten der Blackhats die Kapazitäten gar nicht vorhanden, sich in dreißig Accounts des Gehackten einzuloggen und dort (ggf. in einer fremden Sprache) irgendwas zu unternehmen.

 

[Gentley]

So verbreitet sich nur noch ein Teil der Keylogger.
Das ganze wurde erst nach über eine Woche bemerkt, und auch nicht an die grosse Glocke gehängt. Es gab auf den Seiten zwar eine News dazu, aber eine email Benachrichtigung für alle registrierten Benutzer gab es nicht.

Die Ansicht "ich lade nichts runter also kann mir nix passieren" ist veraltet.

Ich möchte grade mal anmerken, dass das faktisch falsch ist, sehr wohl wurden alle registrierten Nutzer angeschrieben, ich wusste nichtmal mehr, dass ich da noch einen Account habe, und habe auf diesem Weg von der Sache erfahren.

 

[Arghmage]

Fragt sich, warum die den Dienst nicht einfach auch per Mail anbieten... Warum wollen die unbedingt die Handy-Nr. haben? Ein Schelm, wer ...

Es kommt doch schon immer eine Mail bei Änderungen am Account, dazu brauchts keinen extra Dienst.

 

[Opi]

Ich finde das nett, dass es angeboten wird, werde aber nicht darauf zurückgreifen ...
Steht doch jedem völlig frei ob er es nutzt oder nicht.

 

[Merawen]

Ich möchte grade mal anmerken, dass das faktisch falsch ist, sehr wohl wurden alle registrierten Nutzer angeschrieben, ich wusste nichtmal mehr, dass ich da noch einen Account habe, und habe auf diesem Weg von der Sache erfahren.

Ah, dann haben sie das dann doch nochmal später als die eigentliche News auf deren Seite dazu war nachgeholt.
In den Kommentaren zu der News wurde jedenfalls heftig diskutiert warum es keine extra email zu dem Vorfall gab, und jemand von computec hatte das dann zu dem Zeitpunkt noch verteidigt.

 

[Sadistic-Germany]

ich hab meine eigene Lösung. Einen PC allein nur für D3. Da ist NICHTS anderes drauf. Da wird auch nicht auf Emails zugegriffen usw.