Achtung: Goldklau-Link

[Litos]

Könnte man nicht einfach die Session-ID mit in jeden Link reinschreiben und dann prüfen, ob die Session-ID des Spielers mit der im Link übereinstimmt? Das sollte diesen Angriff doch eigentlich verhindern, da man die Session-ID des Opfers kennen müsste.

[damh]

Könnte man nicht einfach die Session-ID mit in jeden Link reinschreiben und dann prüfen, ob die Session-ID des Spielers mit der im Link übereinstimmt? Das sollte diesen Angriff doch eigentlich verhindern, da man die Session-ID des Opfers kennen müsste.

Naja, so lief es hier mal früher.

Dann waren aber die Benutzer so außerordentlich klug und mussten ihre Adresszeile an wildfremde Leute weitergeben, die den Account dann sofort übernommen haben.

Sowas in der Art bräuchte man aber schon. Allerdings löst das auch nur ein Teilproblem.
Gruß damh

[Litos]

Stimmt, das ist mir auch vorhin noch eingefallen. So wäre es wohl möglich, die Session komplett zu übernehmen.

Aber das lässt sich auch ganz einfach lösen: Man generiert für jede Session einen zufälligen Code, den man in der Datenbank zusammen mit der Session-ID speichert. Jeder Link, der irgendeine Spielaktion ausführt, enthält dieses Token. Das Spiel überprüft dann einfach immer, ob das Token im Link zu der Session-ID des Spielers passt. Wenn der Angreifer das Token des Spielers in die Finger bekommt, bringt ihm das immer noch garnichts, weil er ja nicht die dazugehörige Session-ID bekommt und Link-Angriffe werden dadurch auch effektiv verhindert (außer natürlich während der laufenden Session).
Also, wenn der Spieler einem anderen Spieler einen Link von einer eigenen Spielaktion gibt, dann ist er natürlich selbst Schuld, aber selbst dann funktioniert der Angriff nur so lange, bis er sich neu eingeloggt hat.

Oder hab ich jetzt wieder etwas übersehen?

[damh]

Naja, man sollte dabei zusätzlich die Nebeneffekte des Referer beachten bzw. dafür sorgen, dass niemals Fremd-URIs mit einem Referer von einer Seite mit diesem Token aufgerufen werden können.
Dann wäre man vermutlich die schlimmsten Probleme bereits los.
Gruß damh

[Venon]

zum glück hab ich kein gold und hab nie mehr als 2k auf der hand

naja jedenfalls wird ingame nicht davor gewarnt im gegensatz zu pw weitergabe oÄ

[Roudy]

Die Einführung der bisher schon bei Einzelschlägwn vorhandenen Sicherheits-IDs würde glaube ich schon eine Menge Probleme lösen!

[damh]

Die Einführung der bisher schon bei Einzelschlägwn vorhandenen Sicherheits-IDs würde glaube ich schon eine Menge Probleme lösen!

Das ist auch mittlerweile bei vielen Links geändert worden so.

Geldübergabe sollte z.B. nicht mehr gehen.
Gruß damh