Ernstig lek maakte kapen van Steam-accounts kinderspel
Een ernstig beveiligingslek in de populaire gamingdienst Steam zorgde ervoor dat accounts van gebruikers dit weekend op kinderlijk eenvoudige wijze konden worden gekaapt. Het enige dat een aanvaller nodig had om toegang tot een account te krijgen was de gebruikersnaam van gebruiker.
De kwetsbaarheid bevond zich in de wachtwoordresetfunctie. Bij het wijzigen van een wachtwoord stuurt Valve, de ontwikkelaar van Steam, een code naar het e-mailadres van de gebruiker. Deze code moet worden ingevoerd voordat het wachtwoord kan worden aangepast. Een bug zorgde er echter voor dat deze code niet meer nodig was. Een aanvaller die de code niet invulde kon gewoon op doorgaan klikken en vervolgens een nieuw wachtwoord instellen en zo toegang tot het account krijgen, zoals deze video laat zien.
Bug
Valve laat in een reactie aan gamingwebsite Kotaku weten dat het om een "bug" ging en het probleem op 25 juli werd ontdekt. Inmiddels zou de bug zijn verholpen. Om gebruikers te beschermen zullen van alle accounts met "verdachte wachtwoordwijzigingen" het wachtwoord worden gereset. Gebruikers zullen in dit geval een e-mail met een nieuw wachtwoord ontvangen. Daarnaast stelt Valve dat bij accounts die Steam Guard gebruikten, de twee-factor authenticatie van de gamingdienst, aanvallers niet konden inloggen ook al was het wachtwoord gewijzigd.
Steam heeft wereldwijd 125 miljoen gebruikers. Via het platform kunnen gebruikers allerlei games en digitale voorwerpen kopen. Sommige onderzoeksbureaus stellen dat 75% van alle pc-games via Steam worden verkocht. Steamaccounts met veel spellen of digitale goederen zijn dan ook een geliefd doelwit. Van hoeveel gebruikers het account is gekaapt is onbekend, maar op Reddit laten lezers weten dat verschillende bekende gamers de dupe zijn geworden.
Ook begrijp ik dat je wachtwoord zelf niet gecompromitteerd is door dit lek, dus als ik de komende dagen een mailtje krijg van Valve, hergebruik ik gewoon weer mijn oude 12 tekens lange random wachtwoord ([0..9][A..Z][a..z]; 62 mogelijkheden per teken, ongeveer 6 bits)). Moet zo-wie-zo (alternatieve spelling: sowieso) weer eens inloggen, laatste controle mailtje van steam is al weer een half jaar geleden :-D
Heb geen zin mijn opgeschreven wachtwoord plus off-site backup daarvan aan te passen! (Opgeschreven wachtwoorden zijn zeer veilig tegen online aanvallen en steam is wereldwijd. Lokale wachtwoorden schrijf ik natuurlijk niet op. Verder gaat iemand die toch mijn wachtwoord achterhaalt niet wachten tot ik weer eens mijn wachtwoord zal gaan veranderen).
Steam Guard is wel degelijk 2 factor. Zowel via e-mail als app op je telefoon. De app is het meest secure. Je krijgt dan de verificatiecode via de app. In het bericht staat ook dat diegene die steam guard gebruikten geen risico hebben gelopen.
if Steam Guard was enabled, the account was protected from unauthorized logins even if the password was modified.
Recentelijk van provider veranderd. Nieuwe mail, nieuw ip. No problem. En providers die overgenomen worden? Mijn oude email was nog steeds een @home,
Verder heb ik ooit een geheime vraag gereset bij Steam met behulp van een gescande serial number (die krijgt bij het scannen allemaal kleurtjes). Moet je nog wel een fysiek aangeschafte game hebben... en die goed bewaard hebben...
http://www.etymologiebank.nl/trefwoord/sowieso
En inderdaad, in het Duits is het een samentrekking van so, wie en so:
https://de.wiktionary.org/wiki/sowieso
Maar het Duitse wie is niet hetzelfde als het Nederlandse wie, dat betekent hoe of (zo)als), dus zo-wie-zo is sowieso onzin ;-).
Verder heb ik ooit een geheime vraag gereset bij Steam met behulp van een gescande serial number (die krijgt bij het scannen allemaal kleurtjes). Moet je nog wel een fysiek aangeschafte game hebben... en die goed bewaard hebben...
Ik doe niet aan geheime vragen ;)
Volgens Wikipedia is 2FA iets wat je hebt (je computer/ip adres in het geval van Steam Guard) en iets wat je weet (je steam gebruikersnaam/wachtwoord). Beiden te resetten via e-mail AFAIK.
Het valt mij verder op dat ik hier niets over terug lees op de site van Valve?! Alsof ze het in de doofpot willen stoppen (of misschien is het lek nog niet helemaal gedicht en komt er nog een ronde om wachtwoorden te veranderen). Nou ja, steam guard staat hier nu aan dus dat scheelt al weer ;-) Denk ook dat de support afdeling van Steam het erg druk heeft nu.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
