Login per SSL

[Tom85]

Der Login auf den Communityseiten erfolgt scheinbar noch nicht einmal über SSL (Wahrscheinlich im Spiel selbst dann auch nicht). Und dann wundert man sich bei Blizzard über gehackte Accounts? Da kann doch jede Sicherheitslücke beim Provider genutzt werden. Ich stelle mir gerade vor, dass irgendein Idiot der bei einem Provider arbeitet, einfach mal ein paar Pakete abfängt mit den unverschlüsselten Diablo 3 Zugangsdaten. Und schon ist der Account weg, ohne dass der User selbstverschuldet einen Trojaner eingefangen hat.

[Trollster]

Also im Forum log ich mich via https sein, weiß gar nicht, was du hast.

[Maxiklin]

Von welchen Communityseiten sprichst du da bitte ? :) Bei Blizzard meldet man sich grundsätzlich per https an. Wenn du natürlich bei Buffed & Co. dieselben Daten benutzt, wie beim Blizzard-Account, biste selbst schuld xD

[fool]

Bei den von Blizzard betriebenen Foren sieht man das https nicht unbedingt, weil nur das Login-Forum über https läuft und die meisten Browser das nicht anzeigen. Da das Forum selbst über http ausgeliefert wird steht dann zu jedem Zeitpunkt in der Adresszeile "http". Login und alles Account-relevante läuft aber über https. Außerdem braucht man den Authenticator, wenn man einen eingerichtet hat und sein Konto nicht so eingestellt hat, dass man nicht immer neu authentifizieren muss.

[Tom85]

Ok, mein Fehler.
@fool: Danke für die Info.

[Mingfu]

Wie bereits geschrieben wurde: Der Login für die Verwaltung, Foren, ... läuft stets über HTTPS.

Allerdings kann man es teilweise nicht sehen, da z. B. das Forum nur normal über HTTP läuft. Das ergibt in der Tat eine Angriffsmöglichkeit: Man könnte im Forum den Link auf den HTTPS-Login verbiegen und auf eine völlig andere Seite verweisen, die dann die Login-Daten abfängt. Das erfordert aber Schreibzugriff auf die Verbindung zwischen Blizzard-Servern und dem Spieler.

Der Spiellogin erfolgte - zumindest vor der Battle.net-Umstellung in WoW - mittels SRP-6 (ziemlich genial). Wie es seit der Battle.net-Umstellung läuft, weiß ich nicht - habe ich mir danach nicht nochmal angeschaut. Ich denke aber, dass Blizzard es nicht mutwillig schlechter gemacht hat.

[Jolla]

Habe mir mal SRP angeschaut. Ich bin jetzt weder Cryptoexperte noch Programmierer. Hier (http://bhfiles.com/files/Battle.net/bnetdocs/content4323.html?Section=d&id=18) steht, dass der Hash aus Username+Passwort vor der Generierung in Großbuchstaben umgewandelt wird. Ist das der Grund dafür, dass case sensitive Passwörter beim BNet Login erst gar nicht verwendet werden? Sie wären dann eh obsolet. So würde ich das als Laie jedenfalls verstehen.