Minecraft: Entwickler empfiehlt Passwort-Änderung

PC 360 XOne PS3 PS4 iOS Android Browser andere
Bild von Admiral Anger
Admiral Anger 49851 EXP - 24 Trolljäger,R10,S9,C10,A10,J10
Dieser User unterstützt GG seit fünf Jahren mit einem Abonnement.Alter Haudegen: Ist seit mindestens 5 Jahren bei GG.de registriertGold-Jäger: Hat 75 Erfolge erreicht -- Wahnsinn!Gold-Gamer: Hat den GamersGlobal-Rang 20 erreichtGold-Cutter: Hat 100 Videos gepostetAlter Haudegen: Ist seit mindestens 3 Jahren bei GG.de registriertMeister-Poster: Sammelte 5000 EXP durch ForumspostsDebattierer: Hat 5000 EXP durch Comments erhaltenIdol der Massen: Hat mindestens 10.000 Kudos bekommenSilber-Jäger: Hat Stufe 10 der Jäger-Klasse erreichtDieser User hat uns an Weihnachten 2016 mit einer Spende von 10 Euro unterstützt.Silber-Archivar: Hat Stufe 10 der Archivar-Klasse erreicht

8. April 2014 - 21:45 — vor 3 Jahren zuletzt aktualisiert
Minecraft ab 28,99 € bei Amazon.de kaufen.

Das schwedische Indie-Studio Mojang empfiehlt allen Spielern von Minecraft, das Passwort ihres Accounts zu ändern. Grund dafür sei eine Sicherheitslücke in OpenSSL, einer freien Software, die unter anderem dazu genutzt wird, eine sichere Datenübertragung zu gewährleisten. Der sogenannte Heartbleed-Bug ermöglicht es Angreifern, unbemerkt Passwörter und Benutzernamen auszulesen. System Developer Kristoffer Jelbring äußerte über Twitter, dass die eigenen Server nicht davon betroffen seien. Allerdings benutzen die Entwickler die Dienste von Amazon Web Services zur Abwicklung des Datenverkehrs, die unter anderem auf OpenSSL basieren.

Obwohl der Fehler inzwischen behoben sei und nicht geklärt ist, ob tatsächlich Daten gestohlen wurden, solltet ihr aus Sicherheitsgründen dennoch ein neues Passwort vergeben. Falls ihr euer Benutzerkonto bereits in einen Mojang-Account umgewandelt habt, könnt ihr eure Zugangsdaten über diesen Link ändern. Verfügt ihr stattdessen nur über einen klassischen Minecraft-Account, könnt ihr euer Passwort auf der offiziellen Minecraft-Seite zurücksetzen.

firstdeathmaker 17 Shapeshifter - P - 6862 - 9. April 2014 - 6:10 #

Es betrifft übrigens nicht nur Minecraft, sondern alle Server, die Openssh 1.1 genutzt haben. Wie sieht es eigentlich hier auf gg damit aus?

Boris 16 Übertalent - P - 4027 - 9. April 2014 - 12:52 #

Korrektur: betroffen ist openssl 1.0.1, nicht openssh 1.1.
Von openssh hat es wohl nie eine 1.1 gegeben, nicht dass jemand sich freut weil sein openssh deutlich neuer ist ;-)

> Wie sieht es eigentlich hier auf gg damit aus?

Anscheinend nicht betroffen. Es gibt bei gg laut ssltest auch nur TLS 1.0, wodurch man vermuten koennte, dass openssl in der Version 0.9.8 eingesetzt wird und die ist nicht betroffen. TLS 1.1 kam naemlich erst spaeter...

McGressive 19 Megatalent - 14000 - 9. April 2014 - 7:50 #

Danke für die Info. Wird alsbald erledigt.

Herachte 16 Übertalent - P - 4896 - 9. April 2014 - 7:54 #

Dazu müsste es mir wieder einfallen...

Hemaehn 16 Übertalent - 4584 - 9. April 2014 - 9:11 #

Deshalb benutzt man ja überall dasselbe Passwort :P

immerwütend 22 AAA-Gamer - P - 31845 - 9. April 2014 - 11:13 #

Oder man geht ganz raffiniert vor: "Minecraft" für Minecraft, "GamersGlobal" für GG...
Lässt sich prima merken :-)

Admiral Anger 24 Trolljäger - P - 49851 - 9. April 2014 - 11:29 #

Ich nutze meistens "falsch". Wenn ich mich nicht mehr daran erinnern kann oder mich vertippe, sagen mir die meisten Seiten dann, dass mein Passwort falsch ist...

Novachen 19 Megatalent - 13156 - 9. April 2014 - 13:34 #

Wenn es lang genug ist, lässt sich dagegen auch ehrlich gesagt nichts sagen.

Ich nutze tatsächlich fast überall das selbe Passwort. Und das besteht, sofern die Möglichkeit dieser Länge besteht, aus einem leicht merkenden vollständigen Satz. Das ist eher schwierig rauszufinden. Ist leicht merkbar und der Aufwand es zu knacken geht in die Jahrzehnte.

Stuessy 14 Komm-Experte - 2519 - 9. April 2014 - 13:51 #

Sorry, dass ich das ausgerechnet dir sagen muss, aber auf die Länge kommt es nicht an. Dein Passwort kann aus fantastilliarden Zeichen bestehen. Wenn du es überall verwendest, dann muss es nur einmal irgendwo geklaut werden und schon kann auf alle deine Dienste zugegriffen werden. Wenn also "Angreifer unbemerkt Passwörter und Benutzernamen auslesen", dann steht da ja nichts von "Passwort knacken".

immerwütend 22 AAA-Gamer - P - 31845 - 9. April 2014 - 14:05 #

Auf die Länge kommt es nicht an? ^^

Decorus 16 Übertalent - 4278 - 9. April 2014 - 14:09 #

Normalerweise schon, aber in diesem Fall wird eine Technik verwendet, die die Länge irrelevant macht.... °_^
(....da die Klardaten direkt im Speicher ausgelesen werden)

firstdeathmaker 17 Shapeshifter - P - 6862 - 10. April 2014 - 17:43 #

Nicht ganz richtig, es kommt darauf an, ob das Klartext-Passwort geklaut wurde. Das Problem dabei ist allerdings, dass Leute, die die Passwörter im Klartext gespeichert haben, extrem fahrlässig handeln und sich daher hüten werden, zuzugeben, dass sie es im Klartext gespeichert hatten.

Ein langer Passwortsatz ist allerdings auch nicht ganz das Wahre, wenn man ihn nicht noch etwas anpasst. Denn typische Hackertools probieren auch Wortkombinationen aus.

Transmunar Probe 2 (unregistriert) 15. April 2014 - 15:34 #

Naja recht praktisch ist es immer sich einen Satz zu bilden und dann wie folgt vorzugehen. Z.B. "Ich kaufe am Montag zwei Brote für 4 Euro." Daraus wird IkaM2Bf4€ kann man sich merken enthält Groß- und Kleinbuchstaben sowie Sonderzeichen und hat eine gute Länge. "In Amerika würde ich für die Brote nur 3 Dollar zahlen." IAwidB3$z

Dann hat man einen leicht zu merkenden Satz, den man einfach nach einem eigenen System in das eigentliche Passwort umwandelt.

Transmunar Probe 2 (unregistriert) 15. April 2014 - 15:35 #

im zweiten Passwort habe ich das kleine f für "für" vergessen

Nagrach 14 Komm-Experte - 2330 - 9. April 2014 - 17:48 #

Ich glaub ich weiß dein PW^^...

blobblond 19 Megatalent - 18524 - 9. April 2014 - 11:28 #

"Passwort1234567890" lässt sich doch leicht merken!

gar_DE 16 Übertalent - P - 5985 - 9. April 2014 - 11:47 #

1234 reicht für den ganzen Planeten...

Stuessy 14 Komm-Experte - 2519 - 9. April 2014 - 13:01 #

Das wäre dann allerdings 12345. Dieselbe Kombination habe ich an meinem Koffer.

TValok 13 Koop-Gamer - 1649 - 9. April 2014 - 10:53 #

Wenn man noch nicht weiß ob der Fehler behoben wurde warum soll ich dann jetzt mein Passwort ändern? Hä? Wäre das neue dann nicht auch unsicher?

Decorus 16 Übertalent - 4278 - 9. April 2014 - 11:29 #

Der Fehler wurde behoben, es ist nur nicht sicher, ob damit Daten abgegriffen wurden.

TValok 13 Koop-Gamer - 1649 - 9. April 2014 - 12:07 #

Ups - verlesen, sorry :(

Anonhans (unregistriert) 9. April 2014 - 12:18 #

Es sind unglaublich viele Dienste betroffen und eigentlich sollte man seine Passwörter für so ziemlich alles im Netz ändern. Und am besten testet man vorm ändern auch, ob OpenSSL auf den Login-Servern geupdatet wurde ( filippo.io/Heartbleed/ ), damit das neue Passwort nicht direkt wieder aus dem Speicher des Servers im Klartext an jeden rausgegeben wird, der zum richtigen Zeitpunkt ne Anfrage schickt. Da der Bug auch schon seit 2 Jahren existiert (aber jetzt erst öffentlich gemacht und gepatcht wurde), ist es auch nicht unwahrscheinlich, dass irgendwer, der schon vorher davon wusste, sich in den letzten 2 Jahren bei diversen Diensten Login- und Kreditkarten-Daten besorgt und gesammelt hat.
Der Bug ist jetzt öffentlich und ist mit einfachsten Mitteln ausnutzbar. Eine solche Anfrage hinterlässt keine Spuren auf Servern und momentan sind ne Menge Leute unterwegs, die sich nen Spaß draus machen, so viel Daten wie möglich bei angreifbaren Servern abzuholen (ich hab gestern schon ne Menge Login-Daten für Banking-Websites gesehen...). Die großen Dienste werden wohl inzwischen gepacht haben, aber grade kleinere Webshops und -dienste usw. sind oft etwas nachlässig, wenn es um Sicherheitsupdates geht und werden das unter Umständen auch noch eine Zeit lang bleiben.
Man sollte im Moment ganz vorsichtig sein, wenns um die Eingabe von sensiblen Daten im Internet geht.

blobblond 19 Megatalent - 18524 - 9. April 2014 - 13:18 #

Dieser Bug dürfte wohl die erklärung seinen,woher auf einmal die Mio Daten von Email+Password kamen die Mitte Februar und Anfang April entdeckt wurden.

Anonhans (unregistriert) 9. April 2014 - 13:56 #

Das wäre auf jeden Fall eine mögliche Quelle. Wenn man davon wusste, ein paar Bots zur Verfügung hatte und das ganze schön automatisiert und dauerhaft am Laufen hatte, wäre es defintiv möglich gewesen, ungestört und unbemerkt unter anderem ein paar Mio Login-Daten zu sammeln. Das Timing könnte ein Indiz dafür sein, dass da ein Zusammenhang besteht. Würde auch erklären, wieso man nie erfahren hat, woher die Daten kamen, vor denen das BSI gewarnt hat.
Wäre schön, wenn die (oder jemand anderes, der weiß, wo die Daten herkommen) sich mal dazu äußern würden.

Boris 16 Übertalent - P - 4027 - 9. April 2014 - 14:00 #

Nicht unbedingt. Es waere natuerlich eine weitere moegliche Erklaerung, aber in diesem Fall gab es auch schon vor dem bekanntwerden des openssl-bugs genug plausible Theorien wo diese Daten herkommen koennten.
Wovon man aber sicher ausgehen kann ist, dass gerade eifrig mit Hilfes des Bugs die naechsten Datensammlungen angelegt werden.

Decorus 16 Übertalent - 4278 - 9. April 2014 - 14:06 #

Naja, da hätte man doch eher Banken "abgegriffen". Da gab es ja auch einige Seiten die betroffen waren.

Anonhans (unregistriert) 9. April 2014 - 14:17 #

Und wer sagt, dass das nicht auch passiert ist? ;) Das Ausnutzen des Bugs hinterlässt keine Spuren und Logins für Banken werden vielleicht nicht ganz so öffentlich an einschlägigen Stellen im Internet (zum Verkauf) bereitgestellt. Könnte sein, dass die Behörden und Banken nichts davon wissen oder das Ganze einfach nicht öffentlich machen, weil das im Gegensatz zu "verlorenen" Mail + Passwörtern die Leute mal so richtig nervös machen würde und man da als Bank vielleicht auch Angst vor rechtlichen Konsequenzen haben muss. Die Banken sind ja momentan auch fleißig dabei, zu verkünden, dass "keinerlei Daten abhanden gekommen sind", obwohl es mindestens seit gestern völlig klar ist, dass das kompletter Unsinn ist und es auch genug Beweise dafür gibt.

Decorus 16 Übertalent - 4278 - 9. April 2014 - 14:44 #

Weil die Email + PW Sache viele ältere Daten enthält und wenn der Bug schon zu dieser Zeit ausgenutzt worden wäre, hätten wir von so manchen geplünderten Konten gelesen. Kann natürlich sein, dass das sehr Geduldige Angreifer sind, aber Geld jetzt sicher haben und Geld evtl. später haben..... Was würdest du nehmen?

Anonhans (unregistriert) 9. April 2014 - 14:04 #

Ich würde empfehlen, aus der ganzen Heartbleed-Geschichte ne allgemeinere News zu machen, da der Exploit nicht nur Minecraft, sondern einen großen Teil des Internets betrifft. Zwar ist das Thema inzwischen auch auf Seiten wie SPON aufgeschlagen, aber es kann sicherlich nicht schaden, hier auch noch einmal die "Allgemeinheit" über das Problem aufzuklären und nicht nur die Leute, die Angst um ihren Minecraft-Account haben.

Gnorkel (unregistriert) 10. April 2014 - 14:02 #

Um mal eine Zahl in den Raum zu werfen: 500 Millionen Websites sind betroffen (dunkelziffer vermutlich höher)

Auswirkungen: Erst in zwei bis drei Jahren wenn die abgefriffenen Daten, verarbeitet, verkauft, benutzt und weitergegeben wurden.

Kommentar hinzufügen

Neuen Kommentar abgeben
(Antworten auf andere Comments bitte per "Antwort"-Knopf.)
Mitarbeit
FreylisJörg Langer
News-Vorschlag:
Kreativ-Baukasten
7
Microsoft
18.11.2011 () • 07.10.2011 () • 17.11.2011 () • 09.05.2012 () • 18.12.2013 () • 05.09.2014 () • 15.10.2014 () • 10.12.2014 () • 17.12.2015 () • 12.05.2017 () • 13.09.2017 ()
Link
8.2
AndroidBrowser3DSiOSLinuxMacOSPCPS3PS4PSVitaSwitchWiiUandere360XOne
Amazon (€): 49,50 (360), 37,90 (PS3), 45,99 (PlayStation 4), 33,46 (Xbox One), 28,99 (WiiU)