News

Wartung am 03.07. - 05.07.2020
in Wartungen, 30.06.2020 | 18:11

Am Freitag, den 03.07.2020 bis Sonntag, den 05.07.2020 werde ich unsere nächste monatliche Wartung ausführen. Während diesen Arbeiten wird der Server planmäßig 1x neu gestartet und ist für ca. 10 Minuten nicht erreichbar. Dieser Reboot wird Sonntag Abend stattfinden. Geplant ist unter anderem folgendes:

  • Clientupdate auf kRO / ragRE 30.06.20
  • Backup der Datenbanken
  • Einige interne (Sicherheits-) Updates / Fixes
  • Updates/Fix der Reward Shops
  • Einige NPC Updates und Fixes
  • Weitere Vorbereitungen für neue Auto- Events
  • Einige Item- Anpassungen
  • [OS] Hinzufügen des Command Managers


Des Weiteren möchte ich hiermit dazu aufrufen, schreibt doch mal ne Review auf RateMyServer (Mainserver | Oldschool) oder MidgardCommunity um dem Server zu helfen! :no1:

(Comments)

Changes der Wartung am 07.06.20
in Wartungen, 09.06.2020 | 21:14

Die Wartung wurde ausgeführt und alle Systeme arbeiten wieder normal. Und hier die Änderungen:

  • (Die Entwicklung der Server- Software wurde offiziell eingestellt)
  • Clientupdate auf kRO / ragRE 31.05.20
  • Backup der Datenbanken
  • Einige interne (Sicherheits-) Updates / Fixes (Changes)
  • Updates/Fix der Reward Shops
  • Updates/Fix der Questboards
  • Einige NPC Updates und Fixes
  • Einige Updates an der Homepage / im Wiki
  • Wünsch dir was zur Wartung:
    Hee-Man:
    -eine Tao Gunka card ;)
    --Ich glaub, die wünschen sich viele... xD
    Gustav Gans:
    -Def Fix OGH + Ancient Tree Card + Headless Mule Card :)
    --Wieder nicht geschafft, die NPC Updates haben viel zu viel Zeit gefressen... :s
    SnipingRome:
    -mein wunsch wäre es, dass man den reward shop nicht entfernt :D
    --Hab ich leider keinen Einfluss drauf, das liegt bei GM Sakura =P


Des Weiteren möchte ich hiermit dazu aufrufen, schreibt doch mal ne Review auf RateMyServer (Mainserver | Oldschool) oder MidgardCommunity um dem Server zu helfen! :no1:

(Comments)

Passwörter auf NyanRO
in News, 04.06.2020 | 22:26

Hallo liebe Spieler,


wie einige von euch "alten Hasen" wissen, war und ist mir Transparenz euch gegenüber immer sehr wichtig (gewesen). Daher wende ich mich heute nochmals Aufgrund einer potentiell schwerwiegenden Sicherheitslücke bei uns an euch. (Thread: passwort im klartext)


Gleich vorweg, die entsprechende Lücke wurde bereits geschlossen und ist nichtmehr nutzbar!
Denoch bitte ich alle Spieler, rein vorsorglich ihre Passwörter der Ingame- Accounts zu ändern und bei der Gelegenheit (wenn noch nicht getan) eine korrekte E-Mail Adresse in diesen Accounts zu hinterlegen!


Worum handelte es sich bei dieser Lücke?

  • Wie im Thread beschrieben, wurde bei der Nutzung der "Passwort vergessen" Funktion beim Senden der E-Mail ein "debug output" auf der Homepage angezeigt. Dort wurde unter anderem der Text der gesendeten Mail (und somit auch die angeforderten Account Daten) angezeigt. Dies ist in sofern problematisch, als dass jeder, der euren exakten Account Namen kennt, hiermit auch euer Passwort herausfinden konnte.
  • Hier muss ich mir leider eingestehen, dass ich nach dem Fix dieser Funktion vergessen habe, den Debugger wieder abzuschalten. Nur so konnte es überhaupt dazu kommen.


Bin ich betroffen?

  • Solltet ihr eine ungültige Mailadresse in eurem Account hinterlegt haben, ist generell nicht auszuschließen, das ein "Angriff" stattgefunden hat!
  • Die entsprechende Nachricht wurde nur angezeigt, wenn auch das Senden der E-Mail erfolgreich war. Das bedeutet, parallel zu dieser angezeigen Nachricht wurde auch immer eine E-Mail an eure in dem jeweiligen Account hinterlegte E-Mail gesendet (ggf. Spam- Ordner prüfen!). Habt ihr seit dem 15.3.2020 eine Mail bekommen und die Funktion nicht benutzt, dann kann es hier zu einem "Angriff" gekommen sein.


Wie sieht es mit den GM- Accounts aus?

  • Hier kann ich euch beruhigen. Selbst, wenn es einen "Angriff" auf einen GM Account gegeben hätte (was zur Zeit auszuschließen ist), bringt das Passwort allein nichts, um sich einzuloggen und die Rechte zu missbrauchen. Die GM Accounts sind nochmal gesondert geschützt und werden im Zweifel vom Server gekickt.


Was nun?

  • Die entsprechende Lücke ist bereits geschlossen und kann nichtmehr genutzt werden.
  • Es genügt, rein vorsorglich die Passwörter aller Ingame- Accounts zu ändern.
  • Die Passwort vergessen Funktion wird nochmals überarbeitet und wird dann ein temporäres Passwort erstellen. Zur Zeit ist sie, in alter Funktionsweise aber ohne die Lücke wieder aktiviert.


Wie sind Passwörter bei uns gespeichert und wie wird darauf zugegriffen?

  • Die Passwörter des Forums sind verschlüsselt gespeichert und werden auch nur so genutzt.
  • Die Passwörter für die Ingame Accounts sind "in Klartext" gespeichert. Dies liegt daran, dass Ragnarok Online keine verschlüsselten Passwörter unterstützt, oder die Verschlüsselung des Clienten nicht für P-Server nutzbar ist.
  • Alle Web-Zugriffe erfolgen bei uns (wenn über die https Seite -> https://nyanro.org aufgerufen) über eine moderne TLS 1.2 Verschlüsselung.
  • Auf der Homepage wird intern, soweit möglich, immer mit Hashes, niemals mit den direkten Passwörtern gearbeitet. So wird verhindert, das bei einem unwahrscheinlichen Abgreifen der (verschlüsselten) Daten und deren Entschlüsselung ein Passwort lesbar wird.
  • Auf den SQL- Server (und somit die Daten) kann ausschließlich über den Root- Server und dort lokal laufende Software zugegriffen werden. Dies sind hauptsächlich der Web- Server (und dortige Erweiterungen wie der Mail Server) und die Game- Server, sowie ein Frontend zur Datenbank- Verwaltung. Es besteht keine externe Zugriffsmöglichkeit, auch administrative Eingriffe erfolgen ausschließlich mit einem direkten Root- Zugang.
  • Alle Zugriffe auf die SQL Datenbanken erfolgen erst nach Prüfung der Befehlszeile auf Manipulationen jeglicher Form.


Ich hoffe, ich konnte hiermit ein paar Fragen beantworten und möchte mich hiermit nochmals bei allen für diesen miesen Patzer Meinerseits entschuldigen!


Mfg. 15peaces

(Comments)

Changelogs:

2020-06-07 09.06.2020
2020-05-10 10.05.2020
2020-05-03 05.05.2020
2020-04-10 10.04.2020
Forum (Older Changes)