Barts Blog

  • Startseite
  • Fragen? Antworten!
  • Über diesen Blog

Tag-Archiv: security

Opensim: mit Volldampf in die Vergangenheit!

Geschrieben am 3. Mai 2013 Von Bartholomew Gallacher Veröffentlicht unter Programming .

Opensimulator hat ein schönes Feature namens Hypergrid. Das bedeutet kurz gesagt, dass egal wo man hingeht immer sein eigenes Inventar mitnehmen kann und – mehr noch – externe Sachen im eigenen Inventar landen. Das ist eine nette Sache und funktionierte anfangs recht gut.

Die Implementierung stammt von Diva Canto und die erste Version hieß Hypergrid 1.0. Diese war als Proof of Concept gedacht und lief dafür schon recht gut. Sie hatte allerdings einen konzeptionellen, großen sicherheitstechnischen Fehler: der fremde Simulator sah das komplette Inventar des Besuchers und der Assetserver des Besuchers arbeitete treudoof ohne die Überprüfung der Legitimität jedwede Anweisung des fremden Simulators ab. Das konnte einfach das Einpacken eines neuen Objektes sein, aber auch Löschanweisungen.

Da es keinerlei Sicherheitsüberprüfungen gab, war und ist es mit dem Stand von Hypergrid 1.0 möglich, dass ein fremder, bösartiger Server mein komplettes Inventar mal eben so löscht und ich selber bekomme das gar nicht mit. Nun sagen viele: weit hergeholt und davon habe ich noch nie etwas gehört. Tja, aber Jungs und Mädels, nur weil ihr es noch nicht erleben musstet heißt das noch lange nicht, dass es unmöglich ist. HG 1.0 hat einfach sicherheitstechnisch genau dieses riesengroße Loch in Form eines offenen Scheunentors, und ich bin mir sicher, keiner wird dafür die Hand ins Feuer legen, dass nicht doch irgendwo da draußen solche Simulatoren sein könnten und wenn man die dann besuchen sollte, dann hat man eben Pech gehabt!

Diva Canto sah das Problem und es wurde Hypergrid Version 1.5 geboren. Die wesentliche Neuerung dieser Version (es gab i5 und i7) war, dass es fortan einen recht schlechten und holprig zu bedienenden Ordner namens „My Suitcase“ gibt. Der fremde Simulator sieht fortan nur noch diesen und kann nur noch in diesem wüten, mehr aber auch nicht. Das ist ein erheblicher Zuwachs an Sicherheit, genau dafür ist es gedacht. Das Problem in der Handhabung des Ordners ist aber, dass die normalen Inventarfunktionen wie Objekte ins Inventar rüberziehen oder Zeug aus dem Ordner löschen nicht funktionierten und bockig sind. Ohnehin ist er nur als Übergangslösung für Hypergrid 2.0 gedacht, das inzwischen aktiv ist und alle drei Protokollversionen beherrscht. Man muss sich dabei eben für eine entscheiden.

Nun ist es also so, dass die Handhabung dieses Ordners viele Benutzer überfordert. Also was machen nun einige Grids? Sie steigen wieder auf die veraltete und in dem Punkt sicherheitstechnisch bedenkliche Protokollversion 1.0 für das Inventar des Hypergridprotokolls um und preisen das sogar noch als Fortschritt für die Benutzer an! So geschehen im Osgrid, Metropolis und Dorenas World.

Die genauere technische Erklärung dabei ist diese: Opensimulator verfügt inzwischen standardmäßig über Hypergrid 2.0, aber man kann das Inventarhandling wenn man will auf frühere Versionen „runterfahren“, um mit diesen kompatibel zu sein.

Übrigens hält die Macherin des Hypergrids von solch einem Schritt genau das: nämlich rein gar nichts. Aber lest selbst:

[UPDATE 9/23] I should be more clear. The existing HG1.5 inventory service, which lets users still access their entire inventory abroad, will still be available in the future. Grids can continue to use that. They can even use the normal inventory service (HG1.0 style) on the Hypergrid, which has no restrictions whatsoever about inventory manipulation. Both of these, however, especially the normal inventory service, are horribly insecure and expose users to all sorts of risks regarding their inventory. Unless the networked grids have 100% trust in each other, I don’t recommend using them.

Also ist das Downgrading auf das vrealtete Inventarhandling nun wirklich gut? Nein! Sicher, die Handhabung wird wieder für die Benutzer einfacher, aber wer um das Problem von Hypergrid 1.0 nicht weiß und nicht regelmäßig Backups seines Inventars erstellt, der wird möglicherweise irgendwann wenn er mal wirklich auf einen solchen Simulator treffen sollte nur noch dumm dastehen. Denn es hat schon seine guten Gründe gehabt, wieso Diva Canto „My Suitcase“ als notwendig erachtete und das ist eine Sache, auf die die Benutzer dieser Grids wohl kaum hingewiesen werden.

4 Kommentare .
Tags: opensim, security .

Aus aktuellem Anlass unterbrechen wir das momentane Programm, um vor einer aktuellen Welle von Hackerangriffen zu warnen!

Geschrieben am 6. Februar 2013 Von Bartholomew Gallacher Veröffentlicht unter Programming .

Liebe Leute, momentan finden auf viele SL-Accounts momentan gerade Hackerangriffe statt. Solltet ihr euren Account nicht mit einem gescheiten Passwort gesichert haben – wie ein solches aussieht, das lest ihr bitte einfach mal in Ruhe hier nach – dann macht das umgehend!

Desweiteren benutzt bitte dieses Passwort nur für euren Zugang in Second Life und nirgends sonst!

Ansonsten kann es leider sein, dass eurer Zugang gehackt und übernommen wird, um mit URLs von Phishing-Sites, die auf altersvista.org enden, eine Freundeskonferenz aufzumachen. Das habe ich heute schon bei zwei Accounts (einer davon sogar recht bekannt) erleben müssen.

Und sollte euch jemand per Email auffordern, euer Passwort erneut bei Linden Lab eingeben zu müssen – kontrolliert den Link genau, ob da nicht jemand Phishing betreibt und ignoriert das am Besten ganz!

Der aktuelle Phishing-Link ist dabei dieser: ******lifemarchetplace.altervista.org/p/Adult-Sex-Free-Outfit-Male-Female/2008587/index.htm . Solltet ihr dort eure Logindaten einkippen, dann wird auch euer Account übernommen und ihr habt ein Problem!

Die einfache Regel, um so etwas zu erkennen, ist: offizielle Seiten von Linden Lab enden IMMER auf secondlife.com und nichts anderem! Achtet darauf und Augen auf!

Hinterlassen Sie einen Kommentar .
Tags: hacker, second life, security .

Skriptdiebstahl in Second Life

Geschrieben am 13. Oktober 2012 Von Bartholomew Gallacher Veröffentlicht unter Business .

In Sluniverse wurde vor zwei Tagen ein neuer Thread eröffnet, in dem ein Skripter namens Nebula behauptet, dass seine Skripte gestohlen worden seien.

Er hätte es daran erkannt, dass er einen Registrationsserver laufen lassen würde, und da auf einmal hunderte neue Anmeldungen sähe von Kopien, die er niemals verkauft habe.

Wenn das stimmt ist natürlich die Frage: wie ist das geschehen? Er vermutet einen neuen Bug im Server, der das ermöglicht haben könnte, genauer in den Permissions.

So oder so zeigt es eines – Skripter sind in Second Life auch nur solange sicher, solange Linden Lab seine Hausaufgaben zuverlässig gut macht. Wenn sich da mal ein Fehler einschleichen sollte, dann können auch sie von Copybottern betroffen sein!

(Ob es nun ein Bug ist oder auch nicht, wurde bisher von Linden Lab weder bestätigt noch dementiert.)

Hinterlassen Sie einen Kommentar .
Tags: copybot, second life, security .

Neueste Kommentare

  • Cori Panthar bei Der Mann, des ewig unerreichte Wesen
  • Cori Panthar bei Die Zeugen Gretas, oder: was, wenn sie doch Recht hat?
  • Bartholomew Gallacher bei Der Mann, des ewig unerreichte Wesen
  • Bartholomew Gallacher bei Die Zeugen Gretas, oder: was, wenn sie doch Recht hat?
  • Tiberius Mortuus bei Epic Gorfail: Legio i Germanica
  • Cori Panthar bei Die Zeugen Gretas, oder: was, wenn sie doch Recht hat?
  • Cori Panthar bei Der Mann, des ewig unerreichte Wesen
  • Sabine Simon bei Was von „Nur wenn du in meinen Schuhen gelaufen bist, dann kannst du über mich urteilen“ zu halten ist
  • kleflegi bei Was von „Nur wenn du in meinen Schuhen gelaufen bist, dann kannst du über mich urteilen“ zu halten ist
  • Bartholomew Gallacher bei Fragen? Antworten!
März 2021
M D M D F S S
1234567
891011121314
15161718192021
22232425262728
293031  
« Nov    

Kategorien

  • Building
  • Business
  • Downtimes
  • Events
  • Fun
  • General
  • Geschichten
  • Howtos
  • Personal
  • Places
  • Programming
  • Role play
  • World of Warcraft

Schlagwörter

age verification blog blogs Building Business chat development emerald engine facebook fashion firefox firestorm foren forum Fun General google gor history linden lab lydius mesh microsoft music opensim Personal phoenix politik Programming rant Role play roleplay science second life sims slinfo tpv video viewer viewers voice windows world of warcraft wow

CyberChimps WordPress Themes

© Barts Blog