[Callan]

Juste pour info:
http://forums.riftgame.com/showthrea...ecurity-Update

En gros, c'etait bien une faille de sécurité, corrigé grace a un mec qui l'a decouverte, et l'a dit. Il s'est fait contacté par trion, ca a été corrigé en moins de 24H.

Bref, c'etait pas forcement la faute des utilisateurs. MEME SI DANS LE TAS, il y a pu en avoir qui se sont fait niqué par un site pas clair.

Et juste pour info, les mecs qui ont piraté comme ca n'avais ni le mail, ni le mdp, donc le coin lock protege contre des failles de ce genre.

[Valkea]

Comme quoi personne n'est infaillible. Trion comme les autres et c'est parfaitement humain.

Je suis très content qu'ils aient trouvé une faille dans le système de login, trop de messages me paraissaient ne pas coller au classique problème d'utilisateurs tête en l'air ou mal informé.
De plus cette trouvaille devrait redonner un peu de crédit à tout ces joueurs hackés qui se sont fait décrier car bien entendu le problème ne pouvait venir que d'eux.

Il convient cependant de rester vigilant sur la question, car le problème de la faillibilité humaine reste la cause principale de hacking maintenant que cette faille est corrigée.

Enfin, un grand bravo à Trion pour tous les efforts consentis et pour avoir avoué l'existence de la faille (tous les studios ne l'auraient pas avoué).

changer les emails et les mdp à chaque mmo ... ça devrait annihiler les risques de hack de ce style.

[konys]

Citation :

Publié par Siaraa

changer les emails et les mdp à chaque mmo ... ça devrait annihiler les risques de hack de ce style.

C'est expliqué deux post plus haut qu'ils utilisaient pas les id. Comme dit Valkea, bravo pour la transparence.
Ca remet même en place les fanboys qui chiait par la bouche sur ce thread.

[Valkea]

Allez hop une petite traduction avec mon mauvais anglais (pardonnez encore une fois mes éventuels écarts) :

Citation :

Bonjour tout le monde -- Suite à ces derniers jours d'agitation, j'ai eu envie de publier quelques infos.

Concernant le correctif de la nuit dernière -- Je suis très heureux de vous confirmer que nous avons corrigé une vulnérabilité du système d'identification (login), avec l'assistance non négligeable d'un utilisateur extrêmement talentueux.

La source du problème était un bug très subtile et profondément ancré dans le code du serveur, qui intervenait sur les vérifications au moment de la validation de l'identifiant.

Nous tenons vraiment à remercier Mr. ManWitDaPlan (Mr. L'Homme-Qui-A-Un-Plan ^^ !?) pour son assistance tombée à pic. Monsieur, nous vous saluons et nous vous offrons nos remerciements les plus sincères.


Le reste de ce que j'ai à dire, n'est pas là pour minimiser les compliment bien mérités qui précèdent, mais il est important d'en prendre compte pour avoir une vision globale du problème.

Il faut garder en tête que la sécurité des comptes demeure un problème aux multiples origines, et que les autres types d'attaques vont continuer.

Ce qu'il est important de se rappeler c'est que bien qu'une faille a été identifiée et que nous l'aillons corrigée aussi rapidement que possible, il y a toujours des hackers et des botnets qui essaient les combinaisons d'identifiant et mot de passe obtenues depuis des sites compromis et d'anciens MMOs.

Ils le font en ce moment. Ces attaques ont été constantes depuis le lancement du jeu. Les seules choses qui changent sont le nombre de centaines d'ordinateurs qui tentent d'entrer sur votre compte à un moment donné, d'où ils viennent, et combien réussissent à le faire.

Nous les bloquons dès que nous les détectons, mais le fait qu'ils utilisent des botnets dispersés (des ordinateurs infectés situés n'importe où sur Terre) signifie que c'est quelque chose sur lequel nous allons devoir garder un œil indéfiniment .

Pour les joueurs qui se font hacker de cette façon, le système "Coin Lock" fait actuellement son travail en protégeant les biens, mais c'est en supposant bien entendu que votre mot de passe RIFT et votre mot de passe pour votre EMail soient tous les deux entièrement différents.

Le correctif de la faille sur le login, tout autant que l'ajout du système de "Coin Lock" ont eu une influence non négligeable sur la réduction du nombre d'accidents constatés ces 18 dernières heures.

Aucun des deux n'est un remède miracle, mais ça reste un bel enchainement qui tape fort et qui est le bienvenu pour le week-end.

Enfin, avec le système de l'identification à double facteur qui arrive très bientôt, nous pensons augmenter la sécurité encore d'un cran.

Tout compris, moins de 1% des comptes avec des personnages ont eu des personnages impactés. Cependant, 1% d'un nombre aussi étonnamment élevé soit il, reste très important.

Notre équipe a, et va continuer de travailler jours et nuit pour apporter assistance à ceux qui ont été touchés. Nous continuons d'engager toujours plus de monde pour aider avec les problèmes de toutes sortes aussi vite que possible. (D'autres embauches auront lieu dès Lundi, et il y en aura encore d'autres après.)

Comme toujours, merci beaucoup pour votre temps, votre attention, votre aide, et votre patience !

- Scott Hartsman
Exec Producer, RIFT

Message supprimé par son auteur.

[Korrigan]

Du coup tous les "experts" en sécurité informatique qui ont posté sur ce sujet en responsabilisant EXCLUSIVEMENT les utilisateurs/clients vont pouvoir rentrer dans leur trou mais j'en suis sûr qu'ils réapparaîtront sur un autre MMO avec leur "expérience"

Message supprimé par son auteur.

[Arnfiarnunn Neanias]

Wow 1%, les chinois ont pas chômé

Sinon gg à Trion pour leur franchise, c'est quelque chose de tellement rare dans ce genre de situation que ça mérite le respect!


Bon... Maintenant j'attends le retour de mes +70platines wait&see



Ah et juste pour le plaisir de tous les joueurs se sont fait hack, savourez la lecture de ce message que je me permet d'éditer

Citation :

Publié par Andromalius

Les vendeurs de golds s'amusent pas à deviner les mots de passe. XD
Je n'ai connaissance que d'un seul éditeur ayant eu un souci de sécurité propre, GOA avec DAoC, ils ont renvoyé des mdp aléatoires à tous leurs clients le jour même.

Les comptes "hackés" sont des défauts de sécurité du joueur, pas de l'éditeur.
-Phishing
-Keylogger
-Bannières vérolées sur les sites de guilde

Quelques réponses aux personnes s'étant faite avoir:

-'Mon Pc est propre j'ai rien trouvé'
C'est justement parce que vous n'avez rien trouvé qu'il n'est probablement pas propre. Il y a une différence entre "j'ai pas trouvé" et "il n'y a rien".

-"Je me suis pas fait phisher"
C'est parce que tu ne t'en rends pas compte que la technique est efficace: si vous êtes parmi les cibles de ce genre de technique et que vous mordez à l'hameçon, vous ne vous en rendez même pas compte.

Après tout le blabla sécurité sur les emails, les antivirus et tout le bordel...les keyloggers et trojans n'arrivent pas tous seuls sur vos PCs. Les logiciels de triche (botting, macroing etc) "gratuits" sont généralement des attrape-nigauds avec des cochonneries dedans, les addons "qui s'installent tous seuls" avec un .exe dont vous ne savez pas ce qu'il fait en réalité sont généralement des pièges aussi. Etc.

Il n'y a qu'une seule règle simple à respecter pour avoir un compte safe: "Oh ce truc a télécharger ca a l'air d'être trop de la balle", ben oui ca l'est souvent...pour les vendeurs de golds, donc abstenez-vous. Les sites qui vous annoncent des trucs gratuits pour le jeu: n'y allez pas.

Et, bien sur, ne jouez que sur votre PC: vous ne savez pas ce qui traine sur le PC de votre meilleur pote, même si vous jouez chez lui sans lui donner le mdp.
(Si vous lui donnez c'est mort, vous avez plus aucun contrôle)

Merci à toi, j'ai éprouvé beaucoup d'auto satisfaction grâce à ton message

afk bra.. Ouai, une bière c'est aussi bien en fait.

[Eno]

Citation :

Publié par Korrigan

Du coup tous les "experts" en sécurité informatique qui ont posté sur ce sujet en responsabilisant EXCLUSIVEMENT les utilisateurs/clients vont pouvoir rentrer dans leur trou mais j'en suis sûr qu'ils réapparaîtront sur un autre MMO avec leur "expérience"

Ok et les Chinois sur ton compte gmail c'est Trion peut-être? CQFD

[Cefyl]

D'un autre coté, il n'a pas tord vu qu’apparemment il y avait réellement une faille. Lui n'est peut être pas concerné mais beaucoup d'autres doivent l'être.

[Kadath]

Citation :

Publié par Korrigan

Du coup tous les "experts" en sécurité informatique qui ont posté sur ce sujet en responsabilisant EXCLUSIVEMENT les utilisateurs/clients vont pouvoir rentrer dans leur trou mais j'en suis sûr qu'ils réapparaîtront sur un autre MMO avec leur "expérience"

C'est pas toi qui laissait entendre que c'était de la faute de Gmail si ton compte avait été hacké ? (cf: tes premiers messages sur ce thread et notamment le premier message de ce thread.)

[Legowyn]

J'ai la flemme de quote tous les messages "99.9% des hack sont du à l'utilisateur"x40 Je reste donc sur un classique: LOL.

C'est pour ma part la troisième fois que j'assiste à une vague de "piratage" sur un jeu ou l'erreur viens de l'exploitant. Daoc, GW, et ici même. Ma liste de MMO est restreinte.

[lVlusa]

c'est génial de savoir que je fais parti de 1% de la populace , mais bon , si c'est 1% ca devrait aller vite non ? bizarrement depuis jeudi personne répond....

Message supprimé par son auteur.

[dritzz]

Citation :

Publié par lVlusa

c'est génial de savoir que je fais parti de 1% de la populace , mais bon , si c'est 1% ca devrait aller vite non ? bizarrement depuis jeudi personne répond....

car tu n'est pas le seul a monde. car il n'as pas que du hacking comme problème. car il a le week end.

[Arnfiarnunn Neanias]

Et 1% sur un pool de joueur comme ça c'est énorme, il faudra être patient pour que tous retrouvent leurs platines...

[Andromalius]

Citation :

Merci à toi, j'ai éprouvé beaucoup d'auto satisfaction grâce à ton message

Y'a pas vraiment de quoi, ca renvoie juste le gérant de Rift au même niveau que GOA, ce dont à votre place je ne me réjouirais pas outre mesure. (Relis mon premier paragraphe)

Le plus dommage pour eux ca va être les individus comme toi qui vont pouvoir grace au fait qu'une faille a existé (tu sais pas comment elle marche en plus, ca sent la double authentification vue la description mais c'est vague) nier toute responsabilité dans leur sécu info. Bref, les goldsellers ont de beaux jours devant eux chez Rift on dirait.

[Darhim]

Ils ne nient pas leur responsabilité dans l'histoire de la faille de sécurité ou alors j'ai lu de travers oO

Message supprimé par son auteur.

[Ritalino]

C'est kiffant, faille chez Trion mais on va encore dire c'est notre faute

[Darhim]

Tout le monde n'ayant pas eu le même type de vole je pense qu'on peut déjà commencer à faire un tri.

- ceux qui se sont retrouvés sans platine là où ils se sont déconnecté.
- ceux qui se sont retrouvés à poil à Sanctum/Méridian et sans platine.

Après je ne suis pas certain que les GS ont de beaux jours devant eux au vu des moyens que Trion déploient.

[Comalies]

Citation :

Publié par Charlouf

t'a lu de travers, il parle des clients mettant la faute de leur hack sur le dos de la faille de trion, alors qu'au final, ils en savent rien.
moi je sais pas trop si c'est mon coté ou pas, j'ai pas perdu mon mail ni son pass, le password jeu a pas été changé, j'avais 2 trojans..

en gros j'en sais rien.

j'ai été hack genre juste apres un down server, juste apres avoir fini une instance a 4H du mat', je matte un film, je reviens, jsuis a poil.

Exactement la même ...

[Ritalino]

Citation :

Publié par Zengaluh

Tout le monde n'ayant pas eu le même type de vole je pense qu'on peut déjà commencer à faire un tri.

- ceux qui se sont retrouvés sans platine là où ils se sont déconnecté.
- ceux qui se sont retrouvés à poil à Sanctum/Méridian et sans platine.

Après je ne suis pas certain que les GS ont de beaux jours devant eux au vu des moyens que Trion déploient.

Yuyu veut des preuves, j'ai oublié de screen, donc on peut oublier l'option du tri

[Crystal Noir]

Pour en revenir au post initial de toute façon que ce soit gmail ou ailleurs, rien n'est sur à 100 %

Il est bien mieux d'avoir deux mots de passes différents pour le jeu et son compte mails.

D'autre part, pour les utilisateurs de Gmail, activez la fonction https qui est de loin bien plus sécurisée qu'un simple pop.xxxx.fr qui passe en clair en 110.

Enfin pour la récupération de mot de passe outre le fait qu'on puisse poser une question, il y a une fonction SMS qui demande un code de confirmation envoyé par SMS avant la réinitialisation du mot de passe sur gmail.

je préfère utiliser un IMAP ou un web secure http en ssl plutôt qu'un pop en 110 qui secure que dalle

Après cela n'engage que moi.

Ce qu'il y a de sur c'est que rien n'est viable à 100 %

Pour ceux qui parlent des "connexions" gmail provenant d'autres pays que la France, cela peut être du à l'utilisation de certains services de messageries instantanées ou de consultation de compte via des plateformes web ou des programmes multi protocoles, par ex LiveGo, Trillian, les services "multi protocole" web etc... car ces services passent par des serveurs pas forcément français, Gmail détecte alors une connexion "étrangère" à celle habituelle. Cela vaut aussi pour les connexions mobiles.

Enfin la seule solution viable que j'avais trouvé pour protéger un compte jeu était le token mis en place dans wow (authentificator) , même si cela n'exclut en rien le fait qu'il faut faire attention à ses infos, il permet tout de même d'éviter le hack.