И опять о взломах и нашей роли в них...

[Eugene7]

Вот этот абсурд сейчас спамится в лобби:
http://yfrog.com/j6cfrhuckj

[General]

полагаю, главное - не принимать скороспелых решений и ничего не говорить, а предоставить вести диалог официальным лицам

[OT4E]

<div class='quotetop'>Цитата(Eugene7 * 8.6.2010, 23:01) [snapback]338046[/snapback]</div>

Вот этот абсурд сейчас спамится в лобби:
http://yfrog.com/j6cfrhuckj
[/b]

Официальная позиция:
"Недавно наш хакер снова взломал наш форум и хотя никакого существенного ущерба не было нанесено, так как мы уже прикрыли несанкционированную закачку файлов, ему удалось удалить посты, которые мы уже восстановили. Однако он утверждает, что получил новые пароли игроков лиги, что маловероятно, если у него или кого-то из его соратников нет суперкомпьютера, способного сломать SHA1 шифрование, которая используется на нашем форуме в данный момент. Но у него могут быть старые пароли, актуальные на тот момент, когда у нас использовался метод MD5 шифрования.

Так что я предлагаю всем поменять пароль, если вы еще этого не сделали и особенно, если вы не делали этого в течение последних двух месяцев, так как он мог получить ваши пароли, когда первый раз взломал нашу лигу.

Мы закрыли лазейку, которой он пользовался(так уж вышло, что он взломал аккаунт старого админа, который не менял пароль несколько месяцев), и это больше не повторится. Мы также движемся вперед в области безопасности, опробируя версию SMF 2.0rc3, которая более надежна, чем версия SMF 1.1.11, которая используется сейчас."

от 06 Июня 2010
автор: CanuchSoldier

Оргигинал (http://forum.civplayers.com/index.php?topic=8885.0):

Скрытый текст

<div class='quotetop'>Цитата</div>

Recently our hacker did manage to hack our forums, though no damage was done to the league as we have already prevented unauthorized file uploads, so all he could do was delete the posts, which we have restored. But he is claiming to have players new passwords, while it is unlikely that he or anyone else with out a super computer can break the SHA1 encryption used in the forum pw&#39;s, there are database lookups for MD5 and SHA1 hashes on the internet. So it is possible that he got lucky and some of your passwords are listed on these sites.

So to everyone I do suggest that you change your pw if you have not done so lately, and especially if you have not done so in the past 2 months, he did get pw&#39;s from the first time in hacked the league 2 months ago when we used MD5 encryption, since then we changed to SHA1 which is much more secure.

We have prevented the way he hacked the forums( it was just an issue with an old admin account not having a new pw since months ago) so this will not be an issue again. And we are going to move ahead with testing SMF version 2.0rc3 as it is more secure than SMF 1.1.11 that we are using now.

CS[/b]

В свою очередь утверждаю, хотя моего пароля и нет в списке, он спамил его в лобби и это был старый пароль.

Также недавно всем игрокам из списка был насильно изменен пароль и выслан по электронной почте.

[Monster]

<div class='quotetop'>Цитата(OT4E * 9.6.2010, 1:56) [snapback]338051[/snapback]</div>

Но у него могут быть старые пароли, актуальные на тот момент, когда у нас использовался метод MD5 шифрования.
[/b]

Для меня является откровением то, что возможно однозначно восстановить пароль по хешу MD5. Данный алгоритм что-то вроде контрольной суммы, и одному хешу может соответствовать несколько исходных значений. Проще говоря, имея отпечаток в виде хеша MD5 можно получить несколько вариантов паролей, которые бы соответствовали данному значению.

[Dynamic]

<div class='quotetop'>Цитата(Monster * 9.6.2010, 11:13) [snapback]338097[/snapback]</div>

Для меня является откровением то, что возможно однозначно восстановить пароль по хешу MD5. Данный алгоритм что-то вроде контрольной суммы, и одному хешу может соответствовать несколько исходных значений. Проще говоря, имея отпечаток в виде хеша MD5 можно получить несколько вариантов паролей, которые бы соответствовали данному значению.
[/b]

Не имеет значения, сколько паролей соответствуют хэшу, достаточно найти хотя бы 1. Но, насколько я помню, несмотря на то, что теоретически одному хэшу соответствует множество паролей, на практике это будет всего 1 при разумной длине.

В MD5 достаточно длины в 8 символов с использованием разных регистров и цифр, чтобы пароль не ломался без серьезных распределенных вычислений. Конечно, такой пароль не должен быть "говорящим", чтобы его не нашли по словарю.

[Monster]

<div class='quotetop'>Цитата(Dynamic * 9.6.2010, 14:35) [snapback]338099[/snapback]</div>

Не имеет значения, сколько паролей соответствуют хэшу, достаточно найти хотя бы 1.
[/b]

Достаточно для того, чтобы им воспользоваться. Но недостаточно для того, чтобы публиковать его на сайте, как именно твой, а не просто совпадающий. Пока еще никто не заявил, что его пароль неправильный. Вероятно, дело действительно в длине - он брал подходящие пароли только с разумной длиной. Наверное, поэтому в списке нет паролей От4е и Ветра - к их хешам подошли несколько коротких вариантов.
<div class='quotetop'>Цитата(Dynamic * 9.6.2010, 14:35) [snapback]338099[/snapback]</div>

В MD5 достаточно длины в 8 символов с использованием разных регистров и цифр, чтобы пароль не ломался без серьезных распределенных вычислений. Конечно, такой пароль не должен быть "говорящим", чтобы его не нашли по словарю.
[/b]

В списке есть "неговорящие" пароли буквы+цифры и длиной больше 8 (например, мой). Возможно, использовался троян, перехватывающий процесс логина.

[sweeper]

<div class='quotetop'>Цитата(Monster * 9.6.2010, 14:13) [snapback]338097[/snapback]</div>

Для меня является откровением то, что возможно однозначно восстановить пароль по хешу MD5.
[/b]

А это и не нужно. Любой подойдет. Конечно, если его можно ввести в поле ввода.

Dynamic опередил

[Eugene7]

На скрине ведется спам всему лобби, что cfr.ru взламывает civplayers, при поддержке клана рус.

[lada]

Что меня всегда удивляло - почему не банят разных придурков в лобби? Ведь есть пара явных сумасшедших, которые всем известны, и админам, в том числе. Они пишут всем гадости, портят игры. И делается это регулярно. Неужели это технически невозможно?

[NeroWolF]

<div class='quotetop'>Цитата(lada * 9.6.2010, 10:32) [snapback]338075[/snapback]</div>

Что меня всегда удивляло - почему не банят разных придурков в лобби? Ведь есть пара явных сумасшедших, которые всем известны, и админам, в том числе. Они пишут всем гадости, портят игры. И делается это регулярно. Неужели это технически невозможно?
[/b]

ну вообще-то бан - это не выход. лучше чтобы доступ туда был у всех, кто захочет войти. потому что фактически любой обладатель игры в мире при наличии интернета имеет право туда попасть. К тому же в данном случае есть даже какой-то положительный эффект, в частности усилена безопасность сайта и форума и не каждый товарищ "пошутит".
А насчет порчи игр в лобби - вход только один: паролить игры и играть с проверенным народом.

[Gromozeka]

<div class='quotetop'>Цитата(lada * 9.6.2010, 13:32) [snapback]338075[/snapback]</div>

Что меня всегда удивляло - почему не банят разных придурков в лобби? Ведь есть пара явных сумасшедших, которые всем известны, и админам, в том числе. Они пишут всем гадости, портят игры. И делается это регулярно. Неужели это технически невозможно?
[/b]

Чего невозможно-забанить админа ладдера доктора менгеля? то вряд ли

[IL2T]

<div class='quotetop'>Цитата(lada * 9.6.2010, 10:32) [snapback]338075[/snapback]</div>

Что меня всегда удивляло - почему не банят разных придурков в лобби? Ведь есть пара явных сумасшедших, которые всем известны, и админам, в том числе. Они пишут всем гадости, портят игры. И делается это регулярно. Неужели это технически невозможно?
[/b]

Если я не ошибаюсь, лобби вообще никак не модерируется.

Админы лиги могут забанить кого-либо в лиге, но не в лобби!

В каждой конкретной игре модератором/админом является хост. Причем все что он может сделать это выкинуть кого-либо, поставить пароль или поиграться настройками на закладке Multiplayer.

Другое дело, что разработчики не озаботились средствами для модерирования лобби и игры.

На шахматном сервере где я играю, есть для этого команды разные. Например,
censor [user] - все что пользователь пишет ты не видишь,
noplay [user] - он никогда не сможет присоединится к игре в которой ты находишься.

Можно зайти под другим ником конечно. Но это уже другая история.

[UserCivAlex]

Это они так завидуют прошедшей победе

[lada]

Ага. Давайте выпустим психов из сумасшедших домов. Лучше, если они будут чувствовать себя комфортно и смогут войти в любую дверь. И положительный эффект будет - все станут осторожнее в компании малознакомых людей.

[UserCivAlex]

Тема опять свелась к "как избавиться от неадекватов". Наверно именно они - главная причина всех казусов в Циве

[Dynamic]

А где все это посмотреть можно? Или надо быть членом?

[Eugene7]

Он никакой не админ.
Лобби - это лишь часть большой жирной системы GameSpy. И врятли кто-то из геймспая модерит чат лобби. Наверное для этого надо писать специальную жалобу.

Кстати, а где можно увидеть список опубликованных паролей? Конкретно интересно, есть ли там мой

[phenomenon]

<div class='quotetop'>Цитата(Monster * 9.6.2010, 13:50) [snapback]338110[/snapback]</div>

В списке есть "неговорящие" пароли буквы+цифры и длиной больше 8 (например, мой). Возможно, использовался троян, перехватывающий процесс логина.
[/b]

Что сайт ладдера затроянен и находится под атакой, достаточно понять взглянув на рейтинг.
http://civ4.civplayers.com/standings?order...ank&show=25
первое место занимает игрок, не игравший больше 100 дней с рекордным рейтингом. На 12-м месте находится канук солдиер проигравший свою единственную игру. Заявления Канук Солдиера что якобы все вопросы безопасности решены и пароли в том списке старые, похожи не более чем на глупую шутку и попытку одурачить всех.

[Eugene7]

phenomenon - чего вы пытаетесь добиться? Все равно к вам никто не идет и не пойдет, как минимум из-за ваших методов. А вот чего вы реально добились - это оттоку активных игроков из цивы. Нафига вам это?

[UserCivAlex]

Эх, сейчас бы censor[user]. Или вообще - noplay[user] Вообще, явление, происходящее вокруг лиги, напоминает какие-то очень древние, я бы сказал, детсадовские, методы воздействия на аудиторию. Явлению стоит изменить свои средства по достижению цели, ибо иначе фиг он чего достигнет.