Hallo liebe User, Hallo Inpanic Team!
Ich möchte hier ein kleines Statement zu Inpanic 2.5 und den neuen Features abgeben. Zum nutzen aller.
Zuerst ein wenig Lob:
Gratulation das ihr 2.5 habt :D
Nun zu der konstruktiven Kritik:
Zuerst nur zu eurem 2.5 - Ihr hättet euch damit noch ein wenig zeit lassen sollen.
Ohne jetzt ins Detail zu gehen (dafür gibt es den überquellenden Bugtracker ;) ),
es geht einfach zu wenig. Aber natürlich sind auch die Vorteile klar zu sehen (<3 2.5), 2.5 macht eben was her.
Jetzt kommen einige unerfreuliche Sachen:
Quote:
|
Zusätzlich müsst ihr euch bitte mit euren Ingame Daten noch im Launcher einloggen. Diese Funktion haben wir eingebaut, um eure Accounts besser vor Fremdzugriffen schützen zu können.
|
Beginnen wir gleich mit diesem Zitat.
Diese angebliche Funktion um die Accounts zu schützen verringert in Wirklichkeit die Sicherheit.
Nun zuerst, warum existiert sie dann?
Die Antwort: Ein Hackshield. Wenn man es so nennen will :)
Eigentlich mehr ein, rechtlich gesehen, illegales Programm das Daten über die User sammelt - und bezüglich Hackschutz nutzlos ist (es basiert auf einem Beispiel-Programm von mir, eine Art Prototyp für einen Hackschutz. Wurde halt ohne Fragen übernommen. Aber da Felas [der Übeltäter^^] ohnehin nicht programmieren kann, und noch weniger Ahnung von Hackschutz hat ist es eh nutzlos - also mir egal).
Warum verringert sie die Sicherheit?
Nun ja ... wenn man einen SHA1 Hash übers Netzwerk schickt ist das nicht gerade sicher:
Code:
client.Connect("46.4.119.58", 3016);
StreamWriter writer = new StreamWriter(client.GetStream());
StreamReader reader = new StreamReader(client.GetStream());
SHA1CryptoServiceProvider provider = new SHA1CryptoServiceProvider();
byte[] bytes = Encoding.UTF8.GetBytes(this.edPassword.Text);
byte[] inArray = provider.ComputeHash(bytes);
writer.WriteLine("LOGIN;" + this.edName.Text + ";" + Convert.ToBase64String(inArray));
writer.Flush();
Kurz zu Erklärung:
this.edPassword.Text ist die Eingabe in das Passwortfeld.
this.edName.Text ist die Eingabe in das Username feld
Der Rest dient zum Hashen mit als SHA1 und zum senden an den Server.
was aber noch besser ist:
Code:
Registry.CurrentUser.CreateSubKey(@"SOFTWARE\\InPanic Community").SetValue("DefaultUser", this.edName.Text);
Registry.CurrentUser.CreateSubKey(@"SOFTWARE\\InPanic Community").SetValue("DefaultPassword", Convert.ToBase64String(inArray));
Dies hier schreibt die Daten in die Registry :D
Dadurch kann jedes Programm eure Daten auslesen - ein bisschen Spaß mit Rainbowtables oder einer guten Grafikkarte (nähere Erklärungen per PM :D) und man hat eure Passwörter
Zum nächsten - ganz nach der Devise "Sammeln wir Daten"
Code:
private static void Watch(object sender)
{
Process[] processes = Process.GetProcesses();
for (int i = 0; i < processes.Length; i++)
{
if (!procList.Contains(processes[i]))
{
procList.Add(processes[i]);
}
}
}
Hier geht man erstmal durch alle Prozesse durch die Laufen - und speichert sie (!!) [Hier sind wir an dem Punkt an dem es rechtlich so richtig zu knirschen beginnt. Dagegen ist Facebook ein Datenschützer]
Aber es wird noch besser:
Code:
client.Connect("46.4.119.58", 3016);
StreamWriter writer = new StreamWriter(client.GetStream());
StringBuilder builder = new StringBuilder();
builder.Append("PROC;" + User + ";");
foreach (Process process in procList)
{
if (!this.contains(process.ProcessName.ToString()))
{
builder.Append(process.ProcessName.ToString() + ";");
}
}
writer.WriteLine(builder.ToString());
writer.Flush();
writer.Close();
client.Close();
Registry.CurrentUser.CreateSubKey(@"SOFTWARE\\InPanic Community").SetValue("DefaultServer", this.selectedServer.ToString());
}
Alles wird an den Server von Inpanic Community gesendet.
Hier knirscht es nicht nur - das hier fällt unter die Kategorie Cyberkriminalität.
Nur so zum nachdenken.
Hier eine .bat um ohne Launcher zu starten:
Code:
start bin32/aion.bin -ip:46.4.40.209 -port:2130 -cc:2 -lang:deu -noauthgg -noweb -ingameshop
Ich bin mir aber nicht sicher ob der Server vlt überprüft ob man sich per Launcher angemeldet hat (aber wenn ich mir den Programmierstil & das Können von Felas ansehe - dann prüfen sie nicht ;) )
Abschließend ist zu sagen:
Ich warne jeden dieses Programm auch nur zu starten, geschweige denn Daten einzugeben. Es widerspricht jeglichen Datenschutzgesetzen, und jeder der es bereits gestartet hat kann Aufklärung verlangen was mit seinen Daten (vor allem den zur Laufzeit gesammelten Informationen über den PC des Users) passiert. Und natürlich deren Löschung. Und wenn er will kann er auch IP anzeigen.
Mit besten Grüßen,
Rajin
EDIT: Die Daten die Inzane Preisgegeben hat waren in seinem Besitz. Das benutze Launcherdesign IST ABER NICHT IM BESITZ VON INPANIC COMMUNITY. Damit wäre wohl der billige Platz geklärt.
Ich entschuldige mich für alle Rechtschreibfehler da oben:D
