Der ukrainische Hacker Artem Moskowsky hat eine gravierende Sicherheitslücke bei Steam entdeckt. Diese ermöglichte die Generierung von Keys für absolut jedes Spiel. Valve kümmerte sich bereits im August um eine Fehlerbehebung.
Jedem Entwickler ist es auf Steam frei überlassen, wie er sein Spiel verkaufen möchte. Mit einem Backend-Tool ist es zum Beispiel möglich, eine unbegrenzte Anzahl an Keys zu generieren, die dann zum Beispiel in Retail-Versionen vertrieben werden. Alles, was man dafür benötigt, ist einen regulären Steam-Account, Zugriff auf die Entwicklertools und natürlich ein eigenes Spiel, auf das man zugreifen kann.
Der ukrainische Hacker Artem Moskowsky entdeckte im Backend bereits im August einen schwerwiegenden Bug, den er Steam-Betreiber Valve unmittelbar mitteilte. Dieser ermöglichte es jedermann, eine unbegrenzte Anzahl an Keys für jedes Spiel zu generieren, das auf Steam existiert.
Steam: Früher versus Heute: Wie sich die Plattform über 15 Jahre entwickelt hat
Wie der Bug ausgenutzt werden konnte
Die API greift in der Regel auf diverse Parameter zu, darunter appid (für das Spiel), keyid (für die Keys) und keycount (für die Anzahl der zu generierenden Keys). Versucht man, diese API auszunutzen, obwohl man das Spiel gar nicht besitzt, wird einem in der Regel eine Fehlermeldung angezeigt.
Moskowsky erkannte jedoch, dass er diese Restriktion umgehen konnte. Dafür musste er den Parameter bei keycount einfach auf 0stellen und gelangte so direkt an alle Keys zum jeweiligen Spiel. Eine vermeintlich simple Sicherheitslücke, die bislang aber wohl niemandem auffiel.
Nachdem Moskowsky Valve den Bug meldete, wurde dieser bereits innerhalb weniger Tage gefixt. Ihm selbst wurde eine Belohnung in Höhe von 20.000 US-Dollar ausgesprochen.
Steam: Entwickler deaktiviert Key, weil Spieler negative Review hinterließ
