Hoofdcategorieën

Valve praat over diefstal broncode Half-Life 2

Door Harm Hilvers, zondag 18 juli 2004 01:00
Bron: Guardian Unlimited, views: 21.505

Iets meer dan een maand na de arrestaties van de personen die de diefstal van de broncode van Half-Life 2 bij Valve hebben gepleegd, heeft Valve-oprichter Gabe Newell een boekje open gedaan over wat er gebeurd is en hoe de daders zijn gevonden. De hackers konden via een lek in Windows toegang krijgen tot de servers en hebben vervolgens enkele hacktools geïnstalleerd om zo een vroege en onvolledige versie van de broncode van Half-Life 2 te downloaden. Dit werd pas in oktober opgemerkt toen er e-mails van Newell op internetsites verschenen. Valve is toen begonnen met het aanpassen en verbeteren van de beveiliging van zijn servers. Ook zijn er in de broncode van het spel zaken gewijzigd op het gebied van netwerkbeveiliging. Vlak na de diefstal is de jacht op de hackers op twee fronten geopend.

De FBI begon met een grondig onderzoek naar de daders door het onderzoeken van de ingezette keten van computers en netwerken. Tegelijk is door Valve de gamecommunity ingeschakeld in de zoektocht. De gamers werd gevraagd om alle informatie en bewijzen naar de gameproducent te sturen die deze gegevens vervolgens gecategoriseerd en al heeft teruggegeven aan de community. Beide onderzoeken leidden onafhankelijk van elkaar naar iemand in Duitsland. Deze persoon heeft zich toen vrijwillig aangegeven bij de politie en heeft bekend inderdaad de servers van Valve te zijn binnengedrongen. De broncodediefstal was echter door anderen uitgevoerd. De Duitse politie heeft hierna iedere betrokkene opgepakt. Valve heeft laten weten een schadevergoeding te willen van de daders.

Half-Life 2 screenshot (klein)
Een screenshot uit het spel.

Volgende 07:00
Vorige 00:05

Reacties

«  1  2  3  4  »

Hopelijk een wijze les voor de gast in kwestie en toekomstige script kiddies. Het stelen van broncodes is gewoon diefstal ondanks het feit dat de servers niet goed genoeg beveiligd waren.

Iedereen vindt het ook super irritant als zijn fiets gejat wordt, ookal zit er ipv een motorslot een standaard axa slotje op!

Wel tof trouwens dat ze ook inderdaad die gast te pakken hebben gekregen :7

"De hackers konden via een lek in Windows toegang krijgen tot de servers en hebben vervolgens enkele hacktools geïnstalleerd om zo een vroege en onvolledige versie van de broncode van Half-Life 2 te downloaden. "

zouden ze de softwareleveranciers aansprakelijk stellen? Of mischien zijn naar een alternatief overgestapt... Stel je voor dat je een fabriek hebt met beveilingde deuren, echter is er een looper in omgang en je voorraad is gejat... amai amai...

zouden ze de softwareleveranciers aansprakelijk stellen?
Ik heb een fietskettingslot gekocht die niet kapot geknipt kan worden en TOCH is mijn fiets gejat.
Moet de fabrikant van de ketting nu de schade betalen?

En hoogst waarschijnlijk (statistisch gezien) zal het wel een lek geweest zijn waar al een patch voor bestond, dus wie is de schuldige dan???

Hola, hier klopt de analogie niet. Laten we die wel wel kloppend maken. Wat als er een fout in alle sloten zat, en die zit er aantoonbaar door slordigheid van de fabrikant in?

Maar als de fabrikant al gereageerd heeft, dan gaat de fabrikant vrijuit ja.

zouden ze de softwareleveranciers aansprakelijk stellen?
nee, dat kan niet. Valve zit in amerika, en daar is de EULA, waarmee je bij instalatie akkoord moet gaan, geldig. (in nederland is ie niet rechtsgeldig). In die EULA staat waarschijnlijk dat Microsoft op geen enkele manier aansprakelijk is te stellen voor fouten in de code.

Ik heb een fietskettingslot gekocht die niet kapot geknipt kan worden en TOCH is mijn fiets gejat.
Moet de fabrikant van de ketting nu de schade betalen?
Bepaalde kraakveilige fietssloten komen inclusief diefstalverzekering, dus inderdaad.

Wat dacht je eigenlijk van: Het is JOUW verantwoording om het slot ook daadwerkelijk op slot te doen? Als jij als bedrijft verzuimd om je MS servers te patchen dan is MS niet verantwoordelijk (disclaimer ;))

Je weet dat er beveiligingslekken in software zitten. Van MS hoef je je belangrijke info niet aan het inet te hangen !

Je gaat toch ook niet met je nieuwe duure Canondale fiets naar de disco?

Of Microsoft aansprakelijk kan worden gesteld door Valve voor de schade, hangt vooral af van de overeenkomst tussen deze twee. De software license bij zakelijke versies van producten van Microsoft bevat vele clausules waarin nagenoeg alle aansprakelijkheid voor schade wordt uitgesloten, en beperkt. De kans dat Valve van Microsoft een vergoeding kan krijgen voor de gelukt hackpoging, zal hoogstwaarschijnlijk nihil zijn.

Ook in Nederlandse verhoudingen lijkt mij een uitsluiting van aansprakelijkheid voor Microsoft via contractsvoorwaarden te verdedigen. Wie wil en gaat er nog software maken en verkopen als ze voor ieder (onvermijdbaar) foutje geld op mogen hoesten?

Leuk feit is dat Gabe Newell, CEO VALVe en tevens slachtoffer van de hack een lange tijd (13 jaar) voor Microsoft heeft gewerkt. Niet bepaald reclame dus :P

zouden ze de softwareleveranciers aansprakelijk stellen?
EULA

Het stelen van broncodes is gewoon diefstal ondanks het feit dat de servers niet goed genoeg beveiligd waren.

Hoezo "ondanks het feit dat de server niet goed genoeg beveiligd waren" :?

Dat is meteen maar een reden om andermans eigendom te jatten?
Als ik mijn voordeur open laat staan is dat toch ook geen reden om meteen maar mijn hele huis leeg te jatten. Het wel of niet veilig hebben van de software/systeem en eventuele claims zijn hier helemaal niet ter sprake. Die heckers zijn gewoon fout en daar kunnen kosten op verhaalt worden.

Het praat de diefstal niet goed, maar je hebt er niet redelijkerwijs genoeg aan gedaan om het te voorkomen.

Ook zijn er in de broncode van het spel zaken gewijzigd op het gebied van netwerkbeveiliging.
Ik snap niet zo goed wat dit met de diefstal te maken heeft. Het is logischer om de broncode van de windows netwerkbeveiliging aan te passen.

:Z het gaat erom dat de "hackers" de broncode van halflife kunnen gebruiken voor het maken van cheats die gebruikt kunnen worden tijdens het spelen van halflife (of mod's) online.

Als een spel online goed te spelen valt, d.w.z. zonder cheaters, kopen mensen het spel eerder. Als het een groot cheat-fest is dan haken mensen af en verlies je dus omzet.

Klopt. Maar ik snap niet helemaal waarom ze niet van de gelegenheid gebruikt hebben gemaakt om er een echte beveiliging tegen in te bouwen i.p.v. nieuwe geheime broncode te schrijven die direct weer door valsspelers geananlyseerd kan worden.

Bijv. op het moment van inloggen wordt gekeken of de geheugeninhoud waar de programmacode zich bevindt voldoet aan een digitale handtekening.

Door de diefstal kan men de netcode zien, zwakke punten uitbuiten en cheaters een verdraaid goeie kans geven om ongemerkt te cheaten. Dan is het behoorlijk gedaan met je online community. Gamers vertrouwen niemand meer die een beetje goed speelt, iedereen wordt voor cheater uitgemaakt en het spel bloed dood. Spelbouwers die met behulp van de Source-Engine een spel willen bouwen zien dit soort dingen ook niet graag, dus die kopen hun engine elders (doom3/ut2k4/farcry).
edit:
wooo, way too late. Moet geen telefoontjes plegen tijdens het posten :+

Het is altijd leuk om in te breken, code te stelen en hier dan mee op te scheppen. Behalve natuurlijk als je zelf slachtoffer wordt, dan verandert de zaak. Ik snap niet dat deze "hackers" daar zelf niet aan denken.

Nu nog een gepaste schadevergoeding bepalen, lijkt me niet zo makkelijk. Het gaat om een vroege versie, waarschijnlijk is er niet echt winst mee gemaakt of heeft de daad geen gevolgen meer na de release, maar deze is volgens Valve wel opgeschoven dankzij de diefstal. Al bij al een moeilijke opgave. :)

Valve heeft de code moeten aanpassen. Dat kost geld. Daarnaast kost zoiets tijd. Hierdoor komt Half-Life 2 later op de markt. Dit betekend voor andere bedrijven extra tijd om hun producten te ontwikkelen zodat er een grotere concurrentie is dan wanneer Half Life 2 eerder uit zou komen.

In het meest extreme geval is hierdoor Half Life 2 al zo verouderd op het moment dat het verschijnt dat het géén succes wordt. Ook kan door het lekken van de code de online gameplay door cheaters beinvloed worden.

Conclusie: de schade kan makkelijk enkele miljoenen bedragen.

Ik vraag me af wat voor gevolgen het op de rechtsgang heeft nu de daders uit Duitsland komen.

Zullen ze worden uitgeleverd en volgens het Amerikaanse systeem berecht worden? Zo ja, dan zal er idd een aanzienelijke schadevergoeding geist kunnen worden. Alle extra manuren, misgelopen inkomsten, emotionele schade (? :)) etc. daar hangt een aardig prijskaartje aan op Amerikaanse schadeclaim markt.

Ik denk dat die jongens ALS ze in de USA berecht worden de rest van hun leven moeten kromliggen... Eigen schuld? Tja...
edit:
Emotionele schade is natuurlijk meer een geintje
Reactie op Lonny: Maar waar moeten ze berecht worden? De aanklager komt uit de US kan deze zaak überhaupt in Duitsland gehouden worden?

Volgens het duitse recht is ook een schadevergoeding mogelijk. Immers er is duidelijk aantoonbaar dat er door hun handelen financiele schade is geleden.
Het grote verschil met de USA is dat ze in duitsland hopelijk geen geld gaan uitkeren voor de emotionele schade die de mensen hebben opgelopen.

Duitsland levert zijn burgers in elk geval nooit uit, dus dat gebeurt alvast niet. Maar het bedrag zal ongetwijfeld zo hoog zijn dat de lieden in kwestie de rest van hun leven blut zijn, ongeacht hoe hard ze werken...

Uit het interview met Gabe blijkt dat er rekening mee gehouden is dat Duitsland de persoon niet zou willen uitleveren maar in Duitsland berechten:

"We now had three independent ways of confirming this primary instigator and, through conversations with this individual, had convinced him to fly out to us in Seattle for a job interview. The plan was changed so German authorities would do the arrests on German soil," says Newell.

Het is altijd leuk om in te breken, code te stelen en hier dan mee op te scheppen. Behalve natuurlijk als je zelf slachtoffer wordt, dan verandert de zaak. Ik snap niet dat deze "hackers" daar zelf niet aan denken.
Tja, wat is dan het verschil tussen stelen van broncode en het illegaal downloaden van spellen/muziek/films/etc van het internet...

sinds wanneer is hacken gelijk aan dubbelklikken in een p2p programma?

qua handeling heb je gelijk, maar daar stopt het ook hoor |:(

Hoe vaak moet het nog gezegd worden: DOWNLOADEN IS NIET ILLEGAAL!

Je bent ook wel heel vaag als je inderdaad het downloaden van een MP3 gelijk stelt aan het stelen van de broncode van een de (als we de hype mogen geloven) spellen van de laatste jaren? Dit is wel even wat directer een schade dan een film downloaden: Valve (en daarmee ook Vivaldi, en daarmee ook alle gameshops ter wereld) loopt gewoon gigantisch veel geld mis. Ik wil niet eens weten hoeveel extra tijd ze erin hebben moeten steken...

Nou het verschil tussen downloaden van een mp3tje en het downloaden van de sourcecode lijkt me wel duidelijk.
Door het downloaden van de source, moest Valve echt veel manuren steken in het aanpassen van de code. => direct aantoonbare kosten/gedorven inkomsten
Bij het downloaden van een MP3tje zal de producent er mogelijk alleen wat van merken wanneer er door het downloaden minder verkocht zou worden. Dit is vrijwel niet aantoonbaar, aangezien je niet kunt zeggen hoeveel er verkocht zou worden wanneer er niet gedownload zou worden en het is nog steeds niet aangetoond dat downloaden van een MP3 leidt tot lagere verkopen, omdat het nummer daardoor wel meer bekendheid krijgt.

Nou, precies dat uitbrengen van het album. Een artiest (zéker een Amerikaanse!) verliest alle copyrights, op het moment dat hij in zee gaat met een platenmaatschappij. Als ik dan die CD rip, online zet enz. is dat nèt wat anders dan geheime broncode van een spel dat nog miljoenen moet gaan opbrengen en waar mensen al jaren aan werken..

Dat zou hetzelfde zijn als up-to-now-version van een film online krijgen, terwijl die film nog in de maak is (mochten films onderweg al gemonteerd worden..)


Valve wil maar al te graag dat spel releasen, alleen door deze onverwachte gebeurtenissen moest men het spel wel uitstellen.
En dat men de release nu nog steeds blijft uitstellen zal zeker te maken hebben met het onderzoek naar de hacker & co.
Uiteraard is hier ook wel een marketingtechnische reden voor, maar als die hacker er niet was geweest was het spel al lang gereleased..

Kom op zeg. Een paar dagen vóór de geplande release deze afblazen en vervolgens de release een jaar uitstellen. Ik kan me voorstellen dat het erg lastig en vervelend was, de diefstal. Maar aangezien die al eerder gebeurde (en niet in de week van de release) is het verder echt een smoes die er, succesvol, voor zorgde dat mensen Valve zielig vonden en de aandacht van het niet halen van de deadline afhield.

Eens zien ... 30 september was de release date. Ongeveer 7 dagen ervoor, kondigt Valve aan dat het niet zo zou zijn. Tot op dat moment hielden ze vol dat het 30 september ging zijn ( er waren geen berichten van Valve zelf uit dat de release datum niet gehaalt ging worden ). Er was zelf een bericht van hun publisher dat men ging verplaatsen van de datum, dat dan teruggetrokkend werd na een gesprek met Valve.... Meer bevesting kan je niet geven aan de mensen.

Dan kwam de bom ... ieeee ... Nu volgens Valve again, zou de diefstal pas opgemerkt zijn in Oktober ... maw, NA de release date & de aankonding dat het niet ging gaan.

Code was released...

Dan kwam Valve aan dat de diefstal waar was, en dat men zaken moest herwerken.

Zeg nu zelf, je zou verwachten dat MOCHT dit waar geweest zijn, dat ze uitstelde wegens de diefstal om de code nog eens aan te pakken, dit verklaart de bovenste tijdschema van events niet, het feit dat de code / spel duidelijk niet af was ( veel placeholders van voice overs etc en niet vergeten dat de MP die ik wel degelijk in gang gekregen heb met enkel vrienden, zeker & vast niet af is ( en de MP is een belangrijk deel ervan ). De MP code was duidelijk laggy, geen avatars voor je characters, crash's etc ), en dan de jaar lange ontwikkeling om de netcode te beveiligen ...

Een leuk excuus dat het geweest is, waar sommige mensen intrapte, maar de events, tijdschema, en lange duur sinds het de diefstal spreken dit allemaal tegen. Men heeft dit kunnen aangrijp om de delay te kunnen rechtvaardigen om het spel verder af te werken.

Erg leuke theorie maar wie heeft ooit gezegt dat de code die gejat is daadwerkelijk het final version is.

Het kan net zo makkelijk een alpharelease zijn op een ietswat slechtere beveiligde deel van het netwerk.

Er heeft nog niemand ooit bevestigd of zij het final product hebben liggen of niet.

Ik ben bang dat het verhaal dat het niet klaar was een idee was van mensen die dat graag geloven.

Valve heeft laten weten een schadevergoeding te willen van de daders.

niet echt redelijk aangezien het verlies vast niet te compenseren valt....

beter gewoon nooit meer die lui toe laten tot online gaming }>

ook niet echt haalbaar maar idee is leuk :)

Het is voor mij nog steeds onbegrijpbaar hoe je als grote spel-ontwikkelaar een pc met de broncode voor Half-Life 2 op het internet hebt hangen.

Off-topic: en voor mij is het onbegrijpelijk dat je dan 'onbegrijpbaar' schrijft.

On-topic: Maar inderdaad, in de eerste plaats niet echt handig van Valve.

Ik vind het eigenlijk vrij logisch dat het mogelijk is de server te benaderen.

De meeste mensen willen graag vanaf één computer op het internet kunnen zoeken en kunnen werken. Als je dat toestaat moeten de twee netwerken wel op de één of andere manier gekoppeld zijn. Met de juiste tools kun je er dan altijd wel bijkomen. Dus de keuze is vaak een aparte PC voor het internet, geen internet of kwetsbaarder voor hackers. Dan kiezen veel bedrijven toch maar voor het kwetsbare delen van het netwerk. Natuurlijk zitten daar wel de nodige firewalls tussen maar binnen is binnen.

Helaas is het tegenwoordig essentieel als je Windows gebruikt dat je pc/server toegang heeft tot het internet, updates virusscanner, windows updates enz enz enz.

Het ligt er alleen aan hoe je het netwerk geconfigged hebt, en daar is valve de mist mee ingegaan..
Bug in windows, en blijkbaar geen goeie firewall, en de routetabellen niet goed aangepast.. daar lag het grote probleem..

/quote
Valve is toen begonnen met het aanpassen en verbeteren van de beveiliging van zijn servers.
/end quote

Linux?

Dit klopt niet, het is namelijk niet ontzettend essentieel om een computer die niet aan het internet hangt erg regelmatig te updaten. Immers de windows-updates zijn toch meestal om een internet lek te dichten.

Dat hier de pc/server aan het internet was gekoppeld, lijkt me in de huidige tijd van telewerken vrij normaal. Zeker als het gaat om ontwerpers, wil je graag dat ze elk moment dat ze willen bij de code kunnen komen om deze te verbeteren/door te werken.

er staat nergens dat ie direct op aan het net hangt..
logischer iets zou zijn als
internet > router > firewall pix > lan > router > firewall > lan
en dan is het goed mogelijk dat zelfs ondanks verschillende lagen men er toch doorheen gedrongen is.
@bierdop.. dit heeft totaal niets te maken scriptkiddies.. ze hebben hier windows keurig ge-exploit.. dit moet je vergelijken met een axaslot met cijfercode met daarop gedeeltelijk de code erop gegraveerd. als code gejat wordt moet je niet direct ervanuit gaan dat het gaat om scriptkiddies. het zou goed mogelijk zijn dat een bedrijf intresse heeft in de engine en mbv deze beta code kun je goede inspiraties opdoen om te weten hoe iets op te lossen valt

Heb jij je pc dan niet aan internet hangen? Ken je iemand die serieus met computers werkt en geen internet gebruikt? Programmeurs zijn ook mensen en iha meer dan gemiddelde internet gebruikers.

Het waren overigens klaarblijkelijk geen scriptkiddies, Gabe Newell heeft er eerder dit over gezegd: At some point, keystroke recorders got installed on several machines at Valve. Our speculation is that these were done via a buffer overflow in Outlook's preview pane. This recorder is apparently a customized version of RemoteAnywhere created to infect Valve (at least it hasn't been seen anywhere else, and isn't detected by normal virus scanning tools).

Niet alleen voor jou, maar voor iedere investeerder die hieraan heeft meegedaan.
Een spel dat miljoenen kost om te ontwikkelen, miljoenen kost om te uit te brengen. Daarbij komt dat ze ook inkomsten willen genereren door de licenties van de engine te verkopen.
Het is de spel waar Valve de afgelopen jaren op heeft geteerd, en waar ze de komende jaren op moeten teren. Hadden ze moeten inzien, en ze hadden er voor moeten zorgen dat geen enkele byte van de broncode buiten de deuren van valve kwam.
Nu zullen er weer allerlei verhalen de ronde doen, en er wordt gepraat over een schadevergoeding. De schade die is aangericht kunnen de daders niet eens in hun hele leven bijelkaar schrapen.

Het laat wel goed zien hoe populair het spel gaat worden. Het lijkt wel alsof iedereen in de ban is van hl2 (ik ook ;) Dit incident zorgd er alleen maar voor dat het langer duurt voordat het spel wordt uitgegeven omdat 1 (of meerdere) personen niet het geduld kon opbrengen om te wachten. jammer!

euhm, ik snap niet helemaal waarom dit zou moeten aantonen dat dit nu een populair spel gaat worden. Zouden ze voor een minder populair spel waar veel geld in gestopt is dus minder moeite doen??????

Wat me op valt is dat de FBI als eerste de verdacht naar de USA wilde lokken om hem/haar dan aan te houden maar later het plan wijzigde en de Duitse verdacht door de lokale authoriteiten liet oppakken. Ik vraag me dus af waarom ze als eerst de verdachte maar weer uit de tent wilde lokken ipv het aan de buitenlandse authoriteiten over te laten. Weinig respectvol voor de verdachte nmm.

Weetje waar ik aan denk, geen half-life 2 ofzo, maar puur aan het feit hoe iemand zo verdraaid goed kan zijn Echt super veel respect naar de daders GREAT

Dat meen je toch niet? Wat is er nou zo geweldig aan een lek in Windows uitbuiten? Dat is toch ook wat de gemiddelde virus-/wormmaker ook doet? Deze hacker heeft ook totaal geen moeite gedaan om Valve of Microsoft op deze lekken te attenderen of het ten minste voor zich te houden, nee, via hem is door anderen de broncode nog eens gestolen. Respect? Absoluut niet. Dit is gewoon softwarecriminaliteit ten top.
«  1  2  3  4  »

Op dit item kan niet meer gereageerd worden.

Volgende 07:00
Vorige 00:05
VNU Media logo Powered by True

© 1998 - 2008 Tweakers.net - Alle rechten voorbehouden

Uitgever van: