Steam-Account sicher? (Steam-Inventar-Diebstahl)

    Zitat von Syntafin

    Der Token ist übrigens kein Cookie, damit sind sogenannte JWT, JSON Web Token gemeint, ein gängiger Authentifizierungsmechanismus zwischen Javascript Frontends (auch gerne als SPA/PWA ausgelegt) und dem Backend, um eben mit der API zu interagieren.

    Ein solcher User JWT hat mehr Rechte als ein JWT für zB einen Bot, man kann damit alles was der Nutzer kann, denn man ist eben DIESER Nutzer.

    Aber das wird hier schon wieder zu viel.... Also lasse ich es lieber :) .

    Falls doch jemand es noch mehr ausgeführt mag, warum MFA nicht gleich MFA ist und das größte Sicherheitsrisiko, den layer 8, eben auch kein MFA entgegenwirkt, darf es ruhig sagen.

    Super spannendes und wichtiges Thema. Definitiv einen Extra-Thread wert. :)

    Interessante Seite mit Input dazu gefunden

    A Comparison of Cookies and Tokens for Secure Authentication
    This article examines the use of cookies vs. tokens for authentication, comparing the pros and cons of each method, so that you can determine which is best for…
    developer.okta.com

    Zitat:

    "A JWT can be viewed but not manipulated on the client side. You can take your token to jwt.io, choose the algorithm you used to sign, and see the data. You just can’t tamper with it because it’s issued on the server.

    The lifespan of a JWT should be kept short to limit the risk caused by a leaked toke."

    Fazit: Der Serveradministrator ist für die Dauer des Tokens und Sicherheit des Nutzers, bezogen auf den Token, verantwortlich. :face_with_monocle:

    Zitat von Darklord

    Fazit: Der Serveradministrator ist für die Dauer des Tokens und Sicherheit des Nutzers, bezogen auf den Token, verantwortlich. :face_with_monocle:

    Würde eher Entwickler/Betreiber es nennen. Aber korrekt.

    Bei einer Client Anwendung willst du die aber naturgemäß etwas länger haltend machen (keine Ahnung wie lange die halten bei discord!) Und verlängerst bei einer Anfrage dann das Token/ersetzt es.

    Heute Morgen erst wieder gelesen, dass jetzt auch noch vermehrt Dev-Accounts angegriffen/übernommen werden, nur um dann bei Steam ein mit Malware infiziertes neues Build (eines Spiels) einzustellen/zu pushen... wird ja immer spannender...

    Zitat von WalterSullivan

    Heute Morgen erst wieder gelesen, dass jetzt auch noch vermehrt Dev-Accounts angegriffen/übernommen werden, nur um dann bei Steam ein mit Malware infiziertes neues Build (eines Spiels) einzustellen/zu pushen... wird ja immer spannender...

    Das ist ein GANZ übles Szenario. Wo man als Nutzer gar nichts gegen tun kann. :crying_face:

    Meistens fliegen solche Hacks aber schnell auf. :relieved_face:

    Steam prüft die Builds als Host ja auch vor Release auf deren Plattform, denke ich mal stark. :/

    Zitat von Darklord

    Das ist ein GANZ übles Szenario. Wo man als Nutzer gar nichts gegen tun kann. :crying_face:

    Meistens fliegen solche Hacks aber schnell auf. :relieved_face:

    Steam prüft die Builds als Host ja auch vor Release auf deren Plattform, denke ich mal stark. :/

    Jup, in der Regel fliegt das schnell auf. Die versuchen daher eher kleinere Indies anzugreifen/zu kompromittieren. Steam lässt da sicherlich ihre Standard-Prozesse drüber laufen, aber wenn etwas besonders gut versteckt ist, dann gibt es vermutlich eine kleine Chance, dass was durchrutscht und ein paar ("wenige") User erwischt.

    Gab ja auch schon Fälle von "shady devs", die Miner o.Ä. in ihre Spiele eingebaut haben. Ab und zu lässt dann Valve mal wieder in einer größer angelegten Aktion den Bannhammer kreisen.