Anzeige
Watch Paint Dry auf Steam
Watch Paint Dry auf Steam (Bild: Steam)

Sicherheitslücken: "Feuchte Farbe" auf Steam geschmuggelt

Watch Paint Dry auf Steam
Watch Paint Dry auf Steam (Bild: Steam)

Immer wieder klagen Nutzer über Sicherheitslücken auf Steam, jetzt hat ein Student die Sache mal aus Entwicklersicht untersucht - und ein angebliches Programm namens "Watch Paint Dry" ohne Zustimmung von Valve im Store veröffentlicht.

Der britische Student Ruby Nealon hat ein Programm namens Watch Paint Dry im Store von Steam veröffentlicht - ohne die Zustimmung von Valve. Mit der Aktion wollte Nealon zum einen zeigen, dass es auf Steam noch immer größere Sicherheitslücken gibt. Zum anderen sollte das Ganze ein Aprilscherz sein, der allerdings durch einen Fehler ein paar Tage zu früh online ging: "Watch Paint Dry" ist im angelsächsischen Raum der scherzhaft gemeinte Hinweis darauf, dass etwas extrem langweilig ist, ebenso langweilig, wie Farbe beim Trocknen zuzusehen.

Anzeige

Laut The Register hat Ruby Nealon zu einer Handvoll von Tricks gegriffen, um das vermeintliche Spiel auf Steam zu schmuggeln. Zuerst habe er ein Nutzerkonto auf Steam eröffnet, dann Ingame-Sammelkarten erstellt und diese durch Manipulation am HTML-Code als von Valve freigegeben gekennzeichnet.

Anschließend habe er auch die Einstellungen seines Nutzerkontos so ändern können, dass sie wie die von einem Valve-Mitarbeiter ausgesehen hätten. Nach wenigen weiteren, vergleichsweise simplen Schritten habe er Watch Paint Dry dann veröffentlichen können.

Dort ist es allerdings nicht lange geblieben, sondern wurde von Valve entfernt. Hackern mit bösen Absichten hätte dieses Zeitfenster allerdings schon reichen können, um Malware zumindest an ein paar Nutzer auszuliefern. Valve hat The Register gesagt, dass die Sicherheitslücken inzwischen geschlossen sind.

Nealon empfiehlt auf Basis seiner Erfahrungen, dass Shopbetreiber für nutzergenerierte Inhalte, die freigegeben werden müssen, aus Sicherheitsgründen die richtigen Prozesse wählen. Er rät ab von schlicht änderbaren Kennzeichnungen wie "Review ready" und "Reviewed". Stattdessen sollten nacheinander abzuarbeitende und über Tickets verfolgbare Abläufe eingerichtet werden.


eye home zur Startseite
benurb 30. Mär 2016

Ein nicht ganz unwichtiges Detail ist, dass Ruby Zugriff auf einen bereits für Steamworks...

Moe479 30. Mär 2016

nur den status selbst festzuhalten und nicht wer diesen warum wann gesetzt hat ist schon...

Kommentieren



Anzeige

  1. PHP-Entwickler (m/w)
    Lufthansa Global Tele Sales GmbH, Berlin
  2. Softwareentwickler (m/w) Prozess-Engineering
    FERCHAU Engineering GmbH, Region Braunschweig
  3. Webentwickler PHP (m/w)
    Designarena GmbH & Co. KG, Paderborn
  4. Projektingenieur (m/w) Breitbandausbau
    Unitymedia GmbH, Kerpen

Detailsuche



Anzeige

Folgen Sie uns
       


  1. Google und Starbreeze als Partner

    Imax arbeitet an VR-Kamera und VR-Kinos

  2. Scramjet

    Hyperschalltriebwerk erfolgreich getestet

  3. Apple

    Beta von iOS 9.3.3 und OS X 10.11.6 veröffentlicht

  4. Regulierbare Farbtemperatur

    Philips Hue White Ambiance jetzt im Handel

  5. Spotify Family

    Musikstreamingdienst wird günstiger

  6. RLV-TD

    Indien testet wiederverwendbare Raumfähre

  7. Hewlett Packard Enterprise

    "IT wird beim Autorennen immer wichtiger"

  8. Revive

    Update hebelt Oculus VRs Kopierschutz aus

  9. PGP-Unterstützung

    Neuer Roundcube-Webmailer veröffentlicht

  10. Google

    Safe-Browsing-API soll schneller und mobiler werden



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Zerotouch im Hands on: Logitechs Smartphone-Halterung fürs Auto fehlt etwas
Zerotouch im Hands on
Logitechs Smartphone-Halterung fürs Auto fehlt etwas
  1. Logi Base Logitechs iPad-Pro-Dock lädt über den Smart Connector
  2. Logitech G900 im Test Die erste Maus mit Wireless-Kabel

Aquaris M10 Ubuntu Edition im Test: Ubuntu versaut noch jedes Tablet
Aquaris M10 Ubuntu Edition im Test
Ubuntu versaut noch jedes Tablet
  1. Snap Ubuntus neues Paketformat ist unter X11 unsicher
  2. Xenial Xerus Ubuntu will weiter mit Alleingängen punkten
  3. Xenial Xerus Ubuntu 16.04 verzichtet auf proprietären AMD-Treiber

Verschlüsselung: Die leeren Versprechen der Quantenkryptographie
Verschlüsselung
Die leeren Versprechen der Quantenkryptographie
  1. IT-Sicherheit Schadsoftware auf Rechnern im AKW Gundremmingen entdeckt
  2. Niederlande Betreiber von Verschlüsselungsdienst Ennetcom festgenommen
  3. IT-Planungsrat Hardware darf keine "schadenstiftende Software" haben

  1. Re: sowas kommt von sowas

    march | 09:50

  2. Re: Wieso wird der Sound eigentlich nicht mehr...

    HubertHans | 09:50

  3. Re: Interessant für die Jugend von heute,

    Niaxa | 09:49

  4. Re: Unterschallverbrennung

    Sev0r | 09:49

  5. Re: Bild 1 GBA Cartridge

    Dwalinn | 09:47


  1. 09:44

  2. 09:00

  3. 07:51

  4. 07:39

  5. 07:20

  6. 19:04

  7. 19:00

  8. 18:59


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel