Hallo liebe Spieler,
wie einige von euch "alten Hasen" wissen, war und ist mir Transparenz euch gegenüber immer sehr wichtig (gewesen). Daher wende ich mich heute nochmals Aufgrund einer potentiell schwerwiegenden Sicherheitslücke bei uns an euch. (Thread: passwort im klartext)
Gleich vorweg, die entsprechende Lücke wurde bereits geschlossen und ist nichtmehr nutzbar!
Denoch bitte ich alle Spieler, rein vorsorglich ihre Passwörter der Ingame- Accounts zu ändern und bei der Gelegenheit (wenn noch nicht getan) eine korrekte E-Mail Adresse in diesen Accounts zu hinterlegen!
Worum handelte es sich bei dieser Lücke?
- Wie im Thread beschrieben, wurde bei der Nutzung der "Passwort vergessen" Funktion beim Senden der E-Mail ein "debug output" auf der Homepage angezeigt. Dort wurde unter anderem der Text der gesendeten Mail (und somit auch die angeforderten Account Daten) angezeigt. Dies ist in sofern problematisch, als dass jeder, der euren exakten Account Namen kennt, hiermit auch euer Passwort herausfinden konnte.
- Hier muss ich mir leider eingestehen, dass ich nach dem Fix dieser Funktion vergessen habe, den Debugger wieder abzuschalten. Nur so konnte es überhaupt dazu kommen.
Bin ich betroffen?
- Solltet ihr eine ungültige Mailadresse in eurem Account hinterlegt haben, ist generell nicht auszuschließen, das ein "Angriff" stattgefunden hat!
- Die entsprechende Nachricht wurde nur angezeigt, wenn auch das Senden der E-Mail erfolgreich war. Das bedeutet, parallel zu dieser angezeigen Nachricht wurde auch immer eine E-Mail an eure in dem jeweiligen Account hinterlegte E-Mail gesendet (ggf. Spam- Ordner prüfen!). Habt ihr seit dem 15.3.2020 eine Mail bekommen und die Funktion nicht benutzt, dann kann es hier zu einem "Angriff" gekommen sein.
Wie sieht es mit den GM- Accounts aus?
- Hier kann ich euch beruhigen. Selbst, wenn es einen "Angriff" auf einen GM Account gegeben hätte (was zur Zeit auszuschließen ist), bringt das Passwort allein nichts, um sich einzuloggen und die Rechte zu missbrauchen. Die GM Accounts sind nochmal gesondert geschützt und werden im Zweifel vom Server gekickt.
Was nun?
- Die entsprechende Lücke ist bereits geschlossen und kann nichtmehr genutzt werden.
- Es genügt, rein vorsorglich die Passwörter aller Ingame- Accounts zu ändern.
- Die Passwort vergessen Funktion wird nochmals überarbeitet und wird dann ein temporäres Passwort erstellen. Zur Zeit ist sie, in alter Funktionsweise aber ohne die Lücke wieder aktiviert.
Wie sind Passwörter bei uns gespeichert und wie wird darauf zugegriffen?
- Die Passwörter des Forums sind verschlüsselt gespeichert und werden auch nur so genutzt.
- Die Passwörter für die Ingame Accounts sind "in Klartext" gespeichert. Dies liegt daran, dass Ragnarok Online keine verschlüsselten Passwörter unterstützt, oder die Verschlüsselung des Clienten nicht für P-Server nutzbar ist.
- Alle Web-Zugriffe erfolgen bei uns (wenn über die https Seite -> https://nyanro.org aufgerufen) über eine moderne TLS 1.2 Verschlüsselung.
- Auf der Homepage wird intern, soweit möglich, immer mit Hashes, niemals mit den direkten Passwörtern gearbeitet. So wird verhindert, das bei
einem unwahrscheinlichen Abgreifen der (verschlüsselten) Daten und deren
Entschlüsselung ein Passwort lesbar wird.
- Auf den SQL- Server (und somit die Daten) kann ausschließlich über den Root- Server und dort lokal laufende Software zugegriffen werden. Dies sind hauptsächlich der Web- Server (und dortige Erweiterungen wie der Mail Server) und die Game- Server, sowie ein Frontend zur Datenbank- Verwaltung. Es besteht keine externe Zugriffsmöglichkeit, auch administrative Eingriffe erfolgen ausschließlich mit einem direkten Root- Zugang.
- Alle Zugriffe auf die SQL Datenbanken erfolgen erst nach Prüfung der Befehlszeile auf Manipulationen jeglicher Form.
Ich hoffe, ich konnte hiermit ein paar Fragen beantworten und möchte mich hiermit nochmals bei allen für diesen miesen Patzer Meinerseits entschuldigen!
Mfg. 15peaces
