Battle.net er blevet hacket

Av, den var værre. De er vel blevet et langt mere potentielt mål, nu hvor de roder rundt med rigtige penge i Diablo 3.

Håber ikke mit kort bliver tømt, så er der dømt erstatningssag for smerte og svie :P

åhhhh nej. det kunne jo være hackerne ville stjæle mit fiktive sværd på min fiktive karakter...

Dagen ville detsværre komme... flot de har holdt det så langtid, og fedt de tager action på det så hurtigt.

De er åbne, klare og præcise i deres svar, rart at se de tager hånd om det.

Selvfølgelig ville det have været langt bedre at de aldrig havde været blevet kompromitteret, men når lorten er lagt, så håndterer de situationen godt synes jeg.

åhhhh nej. det kunne jo være hackerne ville stjæle mit fiktive sværd på min fiktive karakter...skeptiker (#3)

... Som var 250€ værd i real life money ....

Godt at se en hurtig reaktion fra Blizzard, bare vi ikke skal til at se det samme som der skete for Sony.

What data was affected?
Here's a summary of the data that we know was illegally accessed:

North American-based accounts, including players from Latin America, Australia, New Zealand, and Southeast Asia

Email addresses
Answers to secret security questions
Cryptographically scrambled versions of passwords (not actual passwords)
Information associated with the Mobile Authenticator
Information associated with the Dial-in Authenticator
Information associated with Phone Lock, a security system associated with Taiwan accounts only
Accounts from all global regions outside of China (including Europe and Russia)

Email addresses
China-based accounts

UnaffectedBlizzard

Så alt de har fået på os med en Europæisk account, er vores Email, som de formodentlig spammede allerede.

Blizzard er stadig blevet hacket.. De burde have bedre sikkerhed en Danmarks efterretningstjeneste... Altså, hvis de brugte de nødvendige mængder af penge på sikkerhed.. De har måske 9 mill(?) kreditkort oplysninger, de har alt som Diablo 3 behøver for at kunne køre sit moneymaking AH... Bedre sikkerhed er noget man betaler Blizzard for, ellers kunne man ligeså godt bare selv organizere sine transaktioner...
Altså er det til ALT kritik at de har 'tilladt' dem selv at blive hacket...

#9 har du læst den FAQ de ha lagt op? der er ingen der kan beskytte sig 100% mod at nogen hacker sig ind og kopier ens Database, hvad man kan gøre er at sørge for at det i Databasen kan de ikke bruge til noget (Krypteret, salted mv.) Hvilket Blizzard HAR gjordt.

#10
Nej, det har jeg ikke. Men det er nok at sige, at de bør hele tiden arbejde på at forbedre deres system.

#9 ...(Krypteret, salted mv.) Hvilket Blizzard HAR gjordt.Casstor (#10)

/OFFTOPIC

"Den der skriver d i gjort skal have sin ende smurt"

Ja, undskyld, men kan stadig huske jeg fik den serveret fra en lærer i de mindre klasser i folkeskolen, så jeg har lært det. ;-)

#9, hele ideen med at lave transaktion delen er jo at blizzard vil have en bid af kagen, ikke at gøre den mere sikker end andre muligheder. Hvis du tror at det var for at oppe sikkerheden, så har du godt nok misforstået noget.

Og hvis du ikke tror at Blizzard gør alt for at sikre deres data, da det dels er pinligt og yderligere kan ende med erstatning og søgsmål, så har du igen ikke forstået noget.

Det er sådan man håndterer det. Hurtig lukning af hullet, og hurtig information til brugerne inklusiv god information om hvordan man kan beskytte sig selv.

Der er ikke noget system der er 100% sikkert, og det kommer til at tage lang tid før der kommer et. At Blizzard har holdt stand så længe er ganske imponerende når man tænker på hvor højt oppe på hackernes hitliste de må ligge.

#12 Du skal være velkommen til at smøre min r** ;-), Fik et stort flot 6-tal (gammel skala) i "diktat" i folkeskolen, så at folk kan læse hvad jeg skriver må da være en sejer i sig selv :P

#10
Nej, det har jeg ikke. Men det er nok at sige, at de bør hele tiden arbejde på at forbedre deres system.SecretSilence (#11)

Are you taking additional security measures as a result of this occurrence?
We are continually upgrading our security technologies, policies, protocols and procedures to help protect our customers and our games, and will continue to monitor the situation closely.Blizzard FAQ

;-)

#15 Jeg ved det er en lille bøf, men remsen lyder sjov.

Ellers tak for tilbudet, tror jeg melder pas. :-)

Først skal det siges at du kan IKKE sikkre dig imod at blive hacket hvis nogen tror det så er de meget naive.

Det at der først er sket et brud efter 7 år er meget flot specielt med Annos kampagne for bedre sikkerhed hvor de har samlet mails og passwords i bunke vis fra alle steder.

Det at de har brugt en kryptering af passwords der gør at du manuelt skal dekryptere hvert enkelte viser at de har brugt en del tid på sikkerheden sammenlignet med Sony.

De næste par dage/uger vil dog vise om der er blevet stjålet kreditkort data.

#15: Sejr*

Sikker på vi ikke skal ringe din lærer op? hæhæ ^_^

det er alligevel ret skidt af de opbevarer secret questions og emails i klar tekst. Der må være mange der bruger de samme questions på flere sites

lader ikke til at der er sket så meget med eu battle.net heldigvis

Derfor bruger jeg altid med spam-mail som login med filtre der lægger mails fra de registrerede konti (f.eks. Battle.net) i en dedikeret folder for info..... SPAM AWAY you fools.... buahahaha!!! :-P ;-)

Kreditkort-info holder jeg altid meget tæt og taster gerne informationerne ind gang på gang.... hint hint: I Settings -> Payment Options kan man jo bare sikre sig at man har en tom liste af kreditkort info ;-)

Selvfølgelig findes der sikkert logs med disse informationer dybere i systemet, men er sikkert alligevel (håber jeg) logget udenfor kernen af Battle.net, udenfor systemets database og dermed skal hackerne rode meget dybt for at finde disse informationer ;-)

Det samme gælder forøvrigt samtlige andre online-konti hos diverse services ;-) ..... Stol aldrig på sikkerheden hos et hvilket som helst firma (eller offentlig instans, Net-ID anyone?).... er informationen tilstede så kan det tilgås, og det er et constant race mellem sikkerhedspersonel og hackere.... Når de tager sig en "breather" i firmaerne, så er det bare et spørgsmål om tid før hackere tilgår systemet, såfremt det er et attraktivt mål ;-)

"Titanic cannot sink!" - yeah right! If it floats, it can be sunk! :-P ;-)

#19 Shh ;-)

#20 Secret Question er noget du vælger ud fra en liste, så at krypter dem gav ikke meget mening, svarene derimod ;-)

Secret answer og E-mail burde være ukrypteret ja, men måske de bruger E-mailen som Primary Key?

men måske de bruger E-mailen som Primary Key?Casstor (#23)

Åh puha!!.... håber da ikke at man i 2012 bruger deciderede data som primary key..... yyyyyddrrkkk.... det er jo bandeord!

Mon ikke de hos Blizzard har en vis kvalitet alligevel? .... En primary key er altid en key til formålet... om det så er en selvstændig int, smallint, uuid eller endda en string til formålet (føj!)..... Så er data felter som bruges til andre formål forhåbentligt ikke noget Blizzard overhovedet kunne overveje at bruge som primary key.... Det er jo nææææsten grund til boykot :-P .... hehe.... nej nej, Blizzard er guder! basta! ;-)

#19 Shh ;-)

#20 Secret Question er noget du vælger ud fra en liste, så at krypter dem gav ikke meget mening, svarene derimod ;-)

Secret answer og E-mail burde være ukrypteret ja, men måske de bruger E-mailen som Primary Key?Casstor (#23)

De bruger næppe emails som primary key. Det kan dog godt være de har en unique constraint på emails så en email kun kan have en account, men det er der heller intet i vejen for at gøre krypteret.

krypterer du to ens strenge bliver resultatet det samme såfremt nøglen er den samme.

Vi gør det her i biksen med alt der lugter af noget kontakt oplysninger eller personlig information.

salt gør bare at det tager "lidt" længere tid at knække krypteringen da man ikke kan bruge rainbow tables...
Det gør det på ingen måde umuligt. Især ikke hvis man får saltet med som alt for ofte ligger i samme tabel eller i det mindste i samme databasen som selve password hashet.

Sony, EA Games, Blizzards. Hvem bliverden næste?
Steam? Apple app's store? Google Play?

Personligt bryser jeg mig ikke om et klik købs funktionen, hvor firmaet gemmer mine kreditkort oplysninger...

#27 Valve har allerede haft uautoriseret adgang til deres servere for noget tid siden.

#27 Det ændrer sig nok ikke lige med det samme. De tjener mange gange mere ved at lade det være så nemt at købe. Og hvis der skulle opstå misbrug føres pengene bare tilbage, men det er stadig en bedre forretning, end at folk skal finde deres kreditkort hver gang.

Secret questions?

Ikke alene kan jeg ikke huske hvad jeg har skrevet, jeg kan ikke find ud af HVOR jeg skal skrive den slags ind?

Hm...

Information associated with the Mobile AuthenticatorBlizzard

Så nu skal alle udskifte deres authenticators da seeden er lækket?

#31, Der står "Mobile Authenticator" hvilket ikke er det samme som en "Authenticator".

"Mobile Authenticator" er software man installere på sin mobiltelefon. Og ang. det skriver Blizzard:

We'll also prompt mobile authenticator users to update their authenticator software.Kilde

Omkring "Physical Authenticator" (hardware token) skriver Blizzard:

We believe the integrity of the physical authenticators remains intact.
Kilde

salt gør bare at det tager "lidt" længere tid at knække krypteringen da man ikke kan bruge rainbow tables...
gensplejs (#26)

Det tager en del længere tid, ikke bare "lidt". Og det er bare hvis samme salt er blevet brugt til alle brugere.

Har alle brugere fået tildelt en unik salt, så tager det EKSTREMT lang tid at knække alle koderne (som i: de bliver aldrig færdige med det inden for ihvertfald de næste 20-30 år, måske meget længere tid).

krypterer du to ens strenge bliver resultatet det samme såfremt nøglen er den samme.mfriis (#25)

Nej. En af egenskaberne ved en sikker kryptering er at hvis samme streng krypteres igen, så bliver indholdet anderledes.

Det kan godt lade sig gøre at slække nok på sikkerheden af en kryptering til at at samme streng krypteres til samme værdi, men det skal man altså kun gøre, hvis man virkeligt ved hvad man gør.

En hashfunktion ville være langt mere velegnet til den anvendelse du beskriver end en kryptering. Men hvordan skulle de bære sig ad med at sende email til brugerne, hvis ikke de opbevarer brugernes email adresser?

salt gør bare at det tager "lidt" længere tid at knække krypteringen da man ikke kan bruge rainbow tables...gensplejs (#26)

Det tager ikke bare lidt længere tid. Hvis hashværdier for en million brugere er lækket, så betyder salt at det tager en million gange længere tid at bryde alle passwords.

Det gør det på ingen måde umuligt. Især ikke hvis man får saltet med som alt for ofte ligger i samme tabel eller i det mindste i samme databasen som selve password hashet.gensplejs (#26)

Selvfølgelig gemmer man saltet sammen med hashværdien. Begge dele skal være til stede på samme computer ved validering af password, så uanset hvad man gør er det nok at kompromittere den ene computer for at få adgang til både salt og hash.