Ubisoft Uplay lek?

[Nieknikey]

Hoi mede-tweakers,

Ik kwam tijdens een studie-gerelateerd experiment een opmerkelijkheid tegen, en ik verdenk hier een mogelijk 'lek' in de Ubisoft software "U-Play", eigenlijk de "origin" variant van Ubisoft.

Het scenario:
Gebruiker A wil inloggen op uplay. Er wordt een https verbinding opgezet om de credentials van de gebruiker naar de servers van Ubisoft te sturen.

Als ik mij als Misbruiker B een MITM aanval uitvoer tussen de gebruiker en de server, en hierbij een self-signed certificaat serveer aan de gebruiker, geeft uplay geen certificaat-melding (en m.i. zou dit wel moeten). Ik kan de HTTP packets "gewoon" lezen, en in de Authorization header bevinden zich de ingevoerde credentials, weliswaar encode met Base64 maar uiteraard terug te decoden.

Zoals ik hierboven al stelde, ik ben niet 100% zeker van mijn zaak, maar ik vind het opvallend dat ik deze credentials als MITM 'gewoon' in kan zien. Kan dit door anderen hier misschien gereproduceerd worden op eigen systemen? (ethical hacking normen-en-waarden) Met een game als Watchdogs op de planning voor volgende week lijkt mij dit best een groot 'gat' als dit werkelijk zo blijkt te zijn.

Groeten Nieknikey

[CAPSLOCK2000]

Dat klinkt als prutswerk van Ubisoft. Een goede SSL-client zou het certificaat moeten controleren. Helaas is er nogal wat troep die niet meer controleert dan of er een SSL-certificaat is. Ik heb geen U-Play dus ik kan het zelf niet controleren.

[JT]

Met certificaten identificeer je je en versleutel je, het eerste deel wordt sowieso niet ondervangen; iemand met een andere identiteit wordt niet gemeld door de software. Volgens mij klopt het inderdaad niet.

[Nieknikey]

Maar dit is best wel een major issue... toch? Op lan parties wordt best gebruik gemaakt van dit soort programma's... lekker dan als er een MITM je credentials kan zien.

[Koffie]

Move PNS > BV