Abo
  • Services:
Anzeige
Watch Paint Dry auf Steam
Watch Paint Dry auf Steam (Bild: Steam)

Sicherheitslücken: "Feuchte Farbe" auf Steam geschmuggelt

Watch Paint Dry auf Steam
Watch Paint Dry auf Steam (Bild: Steam)

Immer wieder klagen Nutzer über Sicherheitslücken auf Steam, jetzt hat ein Student die Sache mal aus Entwicklersicht untersucht - und ein angebliches Programm namens "Watch Paint Dry" ohne Zustimmung von Valve im Store veröffentlicht.

Der britische Student Ruby Nealon hat ein Programm namens Watch Paint Dry im Store von Steam veröffentlicht - ohne die Zustimmung von Valve. Mit der Aktion wollte Nealon zum einen zeigen, dass es auf Steam noch immer größere Sicherheitslücken gibt. Zum anderen sollte das Ganze ein Aprilscherz sein, der allerdings durch einen Fehler ein paar Tage zu früh online ging: "Watch Paint Dry" ist im angelsächsischen Raum der scherzhaft gemeinte Hinweis darauf, dass etwas extrem langweilig ist, ebenso langweilig, wie Farbe beim Trocknen zuzusehen.

Anzeige

Laut The Register hat Ruby Nealon zu einer Handvoll von Tricks gegriffen, um das vermeintliche Spiel auf Steam zu schmuggeln. Zuerst habe er ein Nutzerkonto auf Steam eröffnet, dann Ingame-Sammelkarten erstellt und diese durch Manipulation am HTML-Code als von Valve freigegeben gekennzeichnet.

Anschließend habe er auch die Einstellungen seines Nutzerkontos so ändern können, dass sie wie die von einem Valve-Mitarbeiter ausgesehen hätten. Nach wenigen weiteren, vergleichsweise simplen Schritten habe er Watch Paint Dry dann veröffentlichen können.

Dort ist es allerdings nicht lange geblieben, sondern wurde von Valve entfernt. Hackern mit bösen Absichten hätte dieses Zeitfenster allerdings schon reichen können, um Malware zumindest an ein paar Nutzer auszuliefern. Valve hat The Register gesagt, dass die Sicherheitslücken inzwischen geschlossen sind.

Nealon empfiehlt auf Basis seiner Erfahrungen, dass Shopbetreiber für nutzergenerierte Inhalte, die freigegeben werden müssen, aus Sicherheitsgründen die richtigen Prozesse wählen. Er rät ab von schlicht änderbaren Kennzeichnungen wie "Review ready" und "Reviewed". Stattdessen sollten nacheinander abzuarbeitende und über Tickets verfolgbare Abläufe eingerichtet werden.


eye home zur Startseite
benurb 30. Mär 2016

Ein nicht ganz unwichtiges Detail ist, dass Ruby Zugriff auf einen bereits für Steamworks...

Moe479 30. Mär 2016

nur den status selbst festzuhalten und nicht wer diesen warum wann gesetzt hat ist schon...



Anzeige

Stellenmarkt
  1. Computacenter AG & Co. oHG, verschiedene Standorte
  2. IKOR Management- und Systemberatung GmbH, deutschlandweit
  3. T-Systems International GmbH, Leinfelden-Echterdingen
  4. Hornetsecurity GmbH, Hannover


Anzeige
Spiele-Angebote
  1. 59,99€/69,99€ (Vorbesteller-Preisgarantie)
  2. 59,99€/69,99€ (Vorbesteller-Preisgarantie)
  3. 3,49€

Folgen Sie uns
       


  1. Project Zero

    Google-Entwickler baut Windows-Loader für Linux

  2. Dan Cases A4-SFX v2

    Minigehäuse erhält Fenster und wird Wakü-kompatibel

  3. Razer Core im Test

    Grafikbox + Ultrabook = Gaming-System

  4. iPhone-Hersteller

    Apple testet 5G-Technologie

  5. Cern

    Der LHC ist zurück aus der Winterpause

  6. Jamboard

    Googles Smartboard kommt in den USA auf den Markt

  7. Überwachung

    Wikipedia darf nun doch die NSA verklagen

  8. Prototypen

    BOE zeigt AMQLED-Displays mit 5 und 14 Zoll

  9. Passwortmanager

    1Password bietet sichere Passwörter beim Grenzübertritt

  10. QD-LCD mit LED-BLU

    Forscher kritisieren Samsungs QLED-Marketing



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Google I/O: Google verzückt die Entwickler
Google I/O
Google verzückt die Entwickler
  1. Neue Version im Hands On Android TV bekommt eine vernünftige Kanalübersicht
  2. Play Store Google nimmt sich Apps mit schlechten Bewertungen vor
  3. Daydream Standalone-Headsets auf Preisniveau von Vive und Oculus Rift

Panasonic Lumix GH5 im Test: Die Kamera, auf die wir gewartet haben
Panasonic Lumix GH5 im Test
Die Kamera, auf die wir gewartet haben
  1. Die Woche im Video Scharfes Video, spartanisches Windows, spaßige Switch

Asus B9440 im Test: Leichtes Geschäftsnotebook liefert zu wenig Business
Asus B9440 im Test
Leichtes Geschäftsnotebook liefert zu wenig Business
  1. ROG-Event in Berlin Asus zeigt gekrümmtes 165-Hz-Quantum-Dot-Display und mehr

  1. Re: Für 150 Mio US$...

    Dwalinn | 14:14

  2. 16GB RAM unzeitgemäß

    Bouncy | 14:14

  3. Re: Kommt mir auch auf Kundenseite bekannt vor.

    plutoniumsulfat | 14:13

  4. Re: Unterschied OLED zu QLED

    marc_kap | 14:13

  5. Re: Wer braucht schon Kunden?

    Prinzeumel | 14:13


  1. 13:22

  2. 12:41

  3. 12:01

  4. 11:57

  5. 11:32

  6. 11:21

  7. 10:52

  8. 10:40


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel