Änderungen am Account von Adminstrator?

CKomet · November 2019

Ich bekam eben die Nachricht hier im Forum, das ein Adminstrator etwas an meinem Account gemacht hätte und ich daher mein Passwort neu setzen musste. Was bitte soll sowas? Bei solchen Aktioniern erwarte ich das man eine Nachricht erhält was da gemacht wurde. In meinem Posteigang finde ich aber nichts.

Big-Ben · November 2019

CKomet schrieb: »

Ich bekam eben die Nachricht hier im Forum, das ein Adminstrator etwas an meinem Account gemacht hätte und ich daher mein Passwort neu setzen musste. Was bitte soll sowas? Bei solchen Aktioniern erwarte ich das man eine Nachricht erhält was da gemacht wurde. In meinem Posteigang finde ich aber nichts.

Mein PW musste ich auch zurücksetzen, ohne Hinweis

OwenDaring · November 2019

Ja, guckst du auch hier

CKomet · November 2019

ah... danke für den Hinweis

irgendwie war das Forum schon immer etwas unübersichtlich und man weiß nie wo man posten soll

Gamer1986PAN · November 2019

CKomet schrieb: »

ah... danke für den Hinweis

irgendwie war das Forum schon immer etwas unübersichtlich und man weiß nie wo man posten soll

Ist was dran. Vermutlich wäre Allgemeine Hilfe das richtige gewesen: "Findet Hilfe bei Problemen im Spiel oder mit eurem Konto. (was vermutlich auch Forenkonto einschließen dürfte)

CKomet · November 2019

hier stand blödsinn

und jetzt auch noch ich weiß

Tannenhirsch · November 2019

Dito .. wie lästig

Gamer1986PAN · November 2019

hier übrigens auch schon gepostet: https://forums.elderscrollsonline.com/en/discussion/502153/an-admin-recently-changed-your-information#latest

ZOS_KaiSchober · November 2019

Unser Forendienstleister hat bei allen Partnern, die deren jüngstes Update mitgemacht haben, alle Passwörter zurückgesetzt. Dies betraf auf die ESO-Foren. Als Vorsichtsmaßnahme in Antwort auf ein mögliches Sicherheitsproblem in ihrer Forensoftware, werdet ihr werdet aufgefordert, neue Passwörter zu wählen.
Eure Forenpasswörter sind komplett von euren Spiel- und Kontopasswörter getrennt, daher könnt ihr euch mit euren üblichen Namen und Passwörter weiterhin ins Spiel einloggen. Um ins Forum einzuloggen, folgt bitte den Anweisungen zum Zurücksetzen eures Passworts.
Sobald wir mehr Informationen von unserem Dienstleiter erhalten, geben wir sie weiter.

Thorvarg · November 2019

Danke für die morgendliche Information.

FlodurZorp · November 2019

Hast du auch mal Wochenende, Kai?

ZOS_KaiSchober · November 2019

FlodurZorp schrieb: »

Hast du auch mal Wochenende, Kai?

Eigentlich habe ich sogar Urlaub bis zum 25. Aber ins Forum gucke ich trotzdem und da ich dort mit der Aufforderung begrüßt wurde, habe ich erstmal E-Mails und Dev-Tracker gelesen.

Sen_ps · November 2019

ZOS_KaiSchober schrieb: »

Unser Forendienstleister hat bei allen Partnern, die deren jüngstes Update mitgemacht haben, alle Passwörter zurückgesetzt. Dies betraf auf die ESO-Foren. Als Vorsichtsmaßnahme in Antwort auf ein mögliches Sicherheitsproblem in ihrer Forensoftware, werdet ihr werdet aufgefordert, neue Passwörter zu wählen.
Eure Forenpasswörter sind komplett von euren Spiel- und Kontopasswörter getrennt, daher könnt ihr euch mit euren üblichen Namen und Passwörter weiterhin ins Spiel einloggen. Um ins Forum einzuloggen, folgt bitte den Anweisungen zum Zurücksetzen eures Passworts.
Sobald wir mehr Informationen von unserem Dienstleiter erhalten, geben wir sie weiter.

Ja, da hätte ich gern mehr Informationen. So klingt es nämlich, als hätte es eine Foren-Verwundbarkeit gegeben und unsere Accountdaten wurden womöglich bekannt. Und das führt dann u.U. zu mehr Maßnahmen als dem einzelnen Passwort-Neusetzen.

Dabei scheint mir, dass es gar kein Sicherheitsproblem gab, das eine Reaktion erfordert?
Ich mutmaße nämlich ins Blaue rein, dass es sich um Vanilla 3.3-Update handelt (Da https://forums.elderscrollsonline.com/de/settings/analyticstick.json von Vanilla 3.3 spricht. Btw, man sollte keine Versionsinfos leaken...)
Im Changelog steht nichts von einem Sicherheitsproblem. Da steht - allenfalls - "Update Vanillicon email hashes. vanilla#9244 "
In dem Fall war das alles nur ein Nebeneffekt von der geänderten Speicherung der Accountdaten im Hintergrund.

--> Bitte um Klarstellung, was denn nun die Situation ist, dass die Nutzer auch entsprechend reagieren können - oder eben auch nicht weil es gar nie ein wirkliches 'potentielles' Problem gab.

Arcon2825 · November 2019

ZOS_KaiSchober schrieb: »

Als Vorsichtsmaßnahme in Antwort auf ein mögliches Sicherheitsproblem in ihrer Forensoftware, werdet ihr werdet aufgefordert, neue Passwörter zu wählen.

Die Erklärung lässt ziemlich viel Spielraum zur Interpretation, daher:

Gab es ein Sicherheitsvorfall, ja oder nein?
Um ein Problem welcher Art handelte es sich?
Falls Passwort Daten für Außenstehende zugänglich waren, wie groß ist der Schaden?
Wie werden die Passwörter gesichert? Von in Klartext gespeicherten Kennwörtern bis mehrfach „gesalzenen“ Hashes habe ich leider schon alles gesehen...

ZOS_KaiSchober schrieb: »

Sobald wir mehr Informationen von unserem Dienstleiter erhalten, geben wir sie weiter.

Ich erwarte eine vollständige Aufklärung des Sachverhalts, die nun veröffentlichte Erklärung bietet eigentlich keinerlei Informationsgehalt.

Ciannaith · November 2019

Ey Leute hört doch mal bitte auf so auf die *** zu hauen. Sicher habt ihr Recht, aber Kai hat Urlaub. Gönnt ihr dem Mann denn gar nichts?

Anraee · November 2019

Und was kann Kai da jetzt machen, hm? Wie kann man nur so dreist sein, derart unverschämt unerfüllbare Forderungen zu stellen. Es ist ein Drittanbieter, der das Forum betreibt, auch Kai und ZOS müssen auf Infos von denen warten. Statt hier so großkotzig im Forum zu fordern, vielleicht mal den Anbieter selbst anschreiben, wie wärs damit?

Arcon2825 · November 2019

Ciannaith schrieb: »

Ey Leute hört doch mal bitte auf so auf die *** zu hauen. Sicher habt ihr Recht, aber Kai hat Urlaub. Gönnt ihr dem Mann denn gar nichts?

Was hat das eine mit dem anderen zu tun? Es wird doch bei ZOS hoffentlich noch mehr Leute geben, als den guten Kai?

Überhaupt, was hat das mit „auf die *** hauen“ zu tun? So lange ein Sicherheitsvorfall im Raum steht, ist größtmögliche Transparenz geboten. Nur aus Spaß werden sicherlich nicht die Kennwörter zurückgesetzt worden sein. Und die Erklärung oben mag vielleicht unbedarfte Gemüter beruhigen, aber streng genommen bietet sie keinerlei Informationen und versucht lediglich zu beschwichtigen. Wir können gerne Wetten abschließen, wieviel Prozent der Spieler die selben Login Daten für das Forum und das Spiel benutzen

Anraee schrieb: »

Es ist ein Drittanbieter, der das Forum betreibt, auch Kai und ZOS müssen auf Infos von denen warten.

Wie geschrieben, es gibt hoffentlich jemand, der auch in Kais Urlaub das Forum betreut. Und wenn der Drittanbieter nicht von selbst für die notwendige Transparenz sorgt, muss ZOS das einfordern. Denn nach außen halten schließlich sie auch den Kopf hin, oder?

Tannenhirsch · November 2019

Arcon2825 schrieb: »

Was hat das eine mit dem anderen zu tun? Es wird doch bei ZOS hoffentlich noch mehr Leute geben, als den guten Kai?

Es gibt keinen weiteren Mitarbeiter, welcher im deutschsprachigen Sektor im Forum mit der Community über offizielle Themen kommuniziert.
**akte-x-musik

Anraee · November 2019

Weißt du, du machst hier grade genau das gleiche wie die Idioten an der Tankstelle, die die Kassierer wegen der Spritpreise ankacken. Mit genau dem gleichen Effekt.

Ciannaith · November 2019

Tannenhirsch schrieb: »

Arcon2825 schrieb: »

Was hat das eine mit dem anderen zu tun? Es wird doch bei ZOS hoffentlich noch mehr Leute geben, als den guten Kai?

Es gibt keinen weiteren Mitarbeiter, welcher im deutschsprachigen Sektor im Forum mit der Community über offizielle Themen kommuniziert.
**akte-x-musik

Eben, oder hat hier schon mal jemand wen anderen als Kai gesehen der sich zu wirklich relevanten Themen äussert?

CKomet · November 2019

Welche Funktion hat denn eigentlich diese Alina? Die hat ja auch die Kennung als Community Manager?

Arcon2825 · November 2019

Ciannaith schrieb: »

Tannenhirsch schrieb: »

Arcon2825 schrieb: »

Was hat das eine mit dem anderen zu tun? Es wird doch bei ZOS hoffentlich noch mehr Leute geben, als den guten Kai?

Es gibt keinen weiteren Mitarbeiter, welcher im deutschsprachigen Sektor im Forum mit der Community über offizielle Themen kommuniziert.
**akte-x-musik

Eben, oder hat hier schon mal jemand wen anderen als Kai gesehen der sich zu wirklich relevanten Themen äussert?

Die Pläne zur Leistungsverbesserung wurden damals in Kais Urlaub von @ZOS_AlinaUllrich gepostet, soweit ich weiß. Aber die Hoffnung auf eine regelmäßige Entlastung hat sich wohl mittlerweile zerschlagen.

Anraee schrieb: »

Weißt du, du machst hier grade genau das gleiche wie die Idioten an der Tankstelle, die die Kassierer wegen der Spritpreise ankacken. Mit genau dem gleichen Effekt.

Ich sehe ehrlich gesagt nicht, wo ich jemanden „ankacke“.
Es ist nunmal absolut kein üblicher Vorgang, alle Kennwörter zurückzusetzen, schon gar nicht ohne jegliche Vorwarnung. Wenn Dir das egal ist, sei’s drum... Aber: Transparenz einzufordern ist weder unverschämt noch unerfüllbar.

Ciannaith · November 2019

Arcon2825 schrieb: »

[
Es ist nunmal absolut kein üblicher Vorgang, alle Kennwörter zurückzusetzen, schon gar nicht ohne jegliche Vorwarnung. Wenn Dir das egal ist, sei’s drum. Aber: Transparenz einzufordern ist weder unverschämt noch unerfüllbar.

Es kommt aber auf das Wie an

Anraee · November 2019

Und auf das Wo. Hier ist nämlich die absout falsche Stelle dafür, hab ich aber auch weiter oben erwähnt. Wie gesagt, du kannst nicht den Kassierer wegen der Preise ankacken und hier nicht Kai wegen der Passwortzurücksetzung, nachdem er selber schon geschrieben hat, dass man noch auf Infos des Dienstleisters warten muss.

Der Dienstleister wäre der richtige Ansprechpartner für deine Forderungen.

Arcon2825 · November 2019

Anraee schrieb: »

Und auf das Wo. Hier ist nämlich die absout falsche Stelle dafür, hab ich aber auch weiter oben erwähnt. Wie gesagt, du kannst nicht den Kassierer wegen der Preise ankacken und hier nicht Kai wegen der Passwortzurücksetzung, nachdem er selber schon geschrieben hat, dass man noch auf Infos des Dienstleisters warten muss.

Der Dienstleister wäre der richtige Ansprechpartner für deine Forderungen.

Einigen wir uns einfach drauf, dass wir hier keine Einigung erzielen werden

Ich wüsste nicht, was ich mit einem von ZOS beauftragten Dienstleister zu schaffen hätte, geschweige denn, um wen es sich dabei überhaupt handelt. Weder aus der Datenschutzerklärung noch den Nutzungsbedingungen ist für mich herauszulesen, welcher Dienstleister das Forum betreut. Daher gehe ich davon aus, dass Zenimax als Betreiber des Forums der richtige Ansprechpartner ist.

Da kannst Du noch so oft erwähnen, dass Du diesen Ort für die falsche Stelle hältst.

RatsthemE · November 2019

Tannenhirsch · November 2019

CKomet schrieb: »

Welche Funktion hat denn eigentlich diese Alina? Die hat ja auch die Kennung als Community Manager?

Die ist auf der anderen Baustelle (Fallout76) als Community Manager Bethesda Germany zuständig.
Lässt sich dort im Forum aber auch eher selten blicken. Noch seltener als Kai hier.

InvitationNotFound · November 2019

ZOS_KaiSchober schrieb: »

Unser Forendienstleister hat bei allen Partnern, die deren jüngstes Update mitgemacht haben, alle Passwörter zurückgesetzt. Dies betraf auf die ESO-Foren. Als Vorsichtsmaßnahme in Antwort auf ein mögliches Sicherheitsproblem in ihrer Forensoftware, werdet ihr werdet aufgefordert, neue Passwörter zu wählen.
Eure Forenpasswörter sind komplett von euren Spiel- und Kontopasswörter getrennt, daher könnt ihr euch mit euren üblichen Namen und Passwörter weiterhin ins Spiel einloggen. Um ins Forum einzuloggen, folgt bitte den Anweisungen zum Zurücksetzen eures Passworts.
Sobald wir mehr Informationen von unserem Dienstleiter erhalten, geben wir sie weiter.

Gibt es eine CVE ID?

Es ist schon ein klein wenig irritierend, wenn dazu nicht mehr Informationen existieren.
Alles was ich bis jetzt fand, war (in der Annahme, dass es sich um ein Vanilla Forum handelt - Zumindest kommt vanilla oft im Source vor):

Users running a non-download version of Vanilla (pulled from github), on branch release/2019.016 or master from the last 2 weeks should upgrade to release/2019.017 or latest master for security reasons. Downloaded official open sources releases are not affected.

Das hört sich irgendwie leider wie folgt an:
Jemand der Zugriff auf das Repository hatte, konnte Malware einschleusen oder sonstige Änderungen am Code vornehmen. Zumindest scheint dies am naheliegendsten zu sein, da nur die Github Downloads der letzten zwei Wochen betroffen waren und keine anderen Downloads.

Allerdings ist dies reine Spekulation. So oder so, die Kommunikation ist schlecht, richtig schlecht (ja, diesmal nicht von ZOS ^^)

@ZOS_KaiSchober Bitte halte uns auf dem Laufenden. Evtl. kannst du ja auch noch die Foren-Software bestätigen, sodass man allenfalls obiges Szenario schon mal ausschließen könnte.

Edit: Es scheint wohl was anderes zu sein. Siehe meine nächsten Kommentare

Sen_ps · November 2019

Das würde ich so nicht interpretieren, da das auf eher unwahrscheinlichen Szenarien basiert (wenn auch durchaus möglich).
Es kann auch sein, dass man in dem Zeitraum schlicht aus Versehen verwundbaren Programmcode committet hatte.

Als nicht-Programmiere lese ich in github zwar, dass 'etwas' gemacht wurde wie die Nutzernamen aus der DB geladen werden, aber verstehen tu' ich das nicht näher.

*edit*
Irritierenderweise lese ich ja sogar "Vanilla 3.3-2019.016-SNAPSHOT". Jetzt bin ich völlig raus, weil es ja scheinbar ein Update gab, aber die Versionsnummer noch der betroffenen entspricht.

Ich schätze ich warte einfach ab, bis es eine klare Information gibt, um was es eigentlich geht...

InvitationNotFound · November 2019

Sen_ps schrieb: »

Das würde ich so nicht interpretieren, da das auf eher unwahrscheinlichen Szenarien basiert (wenn auch durchaus möglich).
Es kann auch sein, dass man in dem Zeitraum schlicht aus Versehen verwundbaren Programmcode committet hatte.

Als nicht-Programmiere lese ich in github zwar, dass 'etwas' gemacht wurde wie die Nutzernamen aus der DB geladen werden, aber verstehen tu' ich das nicht näher.

*edit*
Irritierenderweise lese ich ja sogar "Vanilla 3.3-2019.016-SNAPSHOT". Jetzt bin ich völlig raus, weil es ja scheinbar ein Update gab, aber die Versionsnummer noch der betroffenen entspricht.

Ich schätze ich warte einfach ab, bis es eine klare Information gibt, um was es eigentlich geht...

Hast du einen Link zu den Commits?

Sen_ps · November 2019

Hier für'n Master https://github.com/vanilla/vanilla/commits/master