Microsoft: onttrekken creditcard-data aan Xbox onwaarschijnlijk

Het zou volgens onderzoekers eenvoudig zijn om creditcard-gegevens te onttrekken aan gebruikte Xbox-consoles, zelfs als de systemen een factory-reset hebben gehad. Microsoft onderzoekt de claims, maar noemt ze 'onwaarschijnlijk'.

Onderzoekers van de Drexel University en Dakota State University kochten vorig jaar een refurbished Xbox 360 van een door Microsoft geautoriseerde dealer. Met behulp van een eenvoudige modding-tool kregen ze toegang tot de bestanden en mappen van de console en wisten ze zelfs de creditardgegevens van de voormalige gebruiker te extraheren.

Ashley Podhradsky van de onderzoeksteams zegt tegen Kotaku dat veel geoefende modders en hackers de methode al kennen: "Iedereen kan de sofware gratis downloaden, een afgedankte gameconsole oppikken en iemands identiteitsgegevens te pakken krijgen." De onderzoekers adviseren iedereen die zijn console verkoopt, om de harde schijf eruit te halen en de data met speciale software compleet te verwijderen. "Als Microsoft zegt dat je iets aan het resetten bent, is dat niet accuraat", zegt Podhradsky, waarbij hij er snerend op wijst dat hetzelfde geldt bij het formatteren van een schijf met Windows.

Microsoft zegt de claims te onderzoeken, maar dat de wetenschappers nog niet de opgevraagde informatie hebben gestuurd die nodig is om hun methode te reproduceren. "Xbox is niet ontworpen om creditcardgegevens lokaal op te slaan en het is dan ook onwaarschijnlijk dat de data hersteld is op de wijze zoals ze omschrijven", zegt Jim Alkove van Microsofts beveiligingsteam voor entertainmentproducten tegen Joystiq. Ook zegt hij dat de harde schijven grondig gewist worden voor ze als refurbished terug op de markt gezet worden.

Reacties (50)

[dcm360]

"Als Microsoft zegt dat je iets aan het resetten bent, is dat niet accuraat", zegt Podhradsky, waarbij hij er snerend op wijst dat hetzelfde geldt bij het formatteren van een schijf met Windows.

Dat klinkt bijna alsof hij niet weet waar hij over praat. Formatteren is nooit bedoeld als een methode om data te wissen, maar om een schijf voor te bereiden op een bestandssysteem. En aangezien een 'full format' afgrijselijk lang duurt doen alle OSen tegenwoordig een 'quick format' die enkel een nieuw bestandssysteem wegschrijft en verder niets.
Als je data wilt verwijderen moet je gewoon tools gebruiken die daarvoor geschreven zijn, hoe erg dat ook als een open deur intrappen klinkt is dat het enige wat gegarandeerd werkt.

[Thief]

Klopt, bovendien is een "zero-fill" (volgens mij de enige echt secure manier om data te wissen) bij de meeste huidige (grote) harde schijven een ondoenlijke bezigheid. Een (bijv.) 2TB harde schijf kost meestal meer dan een dag om te scrubben op deze manier. De reden dat deze opties veelal niet direct zichtbaar (of gewoon afwezig) zijn voor consumenten is inderdaad vanwezge de tijd die het in beslag neemt.

[Gamebuster]

"Als Microsoft zegt dat je iets aan het resetten bent, is dat niet accuraat", zegt Podhradsky, waarbij hij er snerend op wijst dat hetzelfde geldt bij het formatteren van een schijf met Windows.

hahaha, fanboy much?
dat is toch niet serieus te nemen bij een interview

[roy-t]

Inderdaad, formatteren heet toch niet wipen, het is het in een bepaald formaat brengen van de hardeschijf structuur. Dit geld trouwens voor alle OS-en en is een erg domme opmerking.

[swel]

Nou.. format is wel wipe maar van een bepaalde partitie. Anderen worden niet gewist.
Partitioneren is waar jij het volgens mij over probeert te hebben. Formatteren is niet partitioneren.

Trouwens als ik een bestand wis (want de creditcardgegevens hebben er natuurlijk wel opgstaan bij een transactie, ff als temp) kan dat prima terug gehaald worden ook al kost het wat moeite. Dat kan zelfs met werkgeheugen dat 'leeg' is door de console uit te schakelen.

Denk dat ze met onwaarschijnlijk bedoelen. No way dat iemand dat gaat doen. of hopen.

[CodeCaster]

Wipen is de hele schijf volschrijven met nullen, formatteren is de schijf volschrijven met nullen en er vervolgens een bestandssysteem op schrijven.

Verder hoeven creditcardgegevens helemaal niet tijdelijk in een bestand geschreven te worden bij gebruiken, en daarnaast is RAM zijn data in minder dan een duizendste seconde zonder stroom voorgoed kwijt.

[.oisyn]

Wipen is de hele schijf volschrijven met nullen

Wat niet echt een goede wipe is. De magnetische lading van een bit is een analoog gegeven en zal niet exact 0 of 1 zijn. Door alleen nullen te schrijven zijn ze in principe gegarandeerd 0 genoeg (zoals bijv. 0,13), maar aan het magnetische residu kan de originele data nog wel te herleiden zijn. Daarom kun je beter (meerdere keren) random bits schrijven. Maar uiteindelijk natuurlijk wel nullen om de schijf echt leeg te laten zijn

Overigens is formatteren ook voornamelijk een nieuw bestandssysteem erop zetten, en niet per se de rest van de nog ongebruikte bits op de partitie op 0 zetten.

[Reactie gewijzigd door .oisyn op 23 juli 2024 06:35]

[YbonG]

Hij heeft toch gewoon gelijk? Bij een simpele format is de data nog behoorlijk gemakkelijk terug te vinden. Dat geld niet alleen voor windows, maar waarschijnlijk wordt er naar windows verwezen omdat ook dat een microsoft product is.

Wat ik persoonlijk niet helemaal snap is waarom er creditcard gegevens op de xbox zelf worden opgeslagen. Nu ben ik sowieso geen fan van systemen die creditcard gegevens opslaan, maar bij dit soort abo diensten is dat niet altijd te ontwijken. Maar je hebt toch gewoon een account? Ik zou er in ieder geval van uit gaan dat dit gewoon bij microsoft wordt opgeslagen.

[Reactie gewijzigd door YbonG op 23 juli 2024 06:35]

[Ramon]

Een format is natuurlijk geen microsoft tech maar iets wat standaard op alle OS'en gebruikt wordt, dus omdat nou erbij te halen is wat vergezocht.

En daarnaast, wat betreft je laatste paragraaf, dat is precies wat MS zegt in reactie: "er worden geen creditcard gegevens opgeslagen op de console, dus kan je ze er niet van terughalen."

[nexhil]

Ik kan in osx selecteren dat alle data 1 of 7 keer met nullen overschreven wordt. De kans dat er dan data teruggehaald kan wordend al een stuk kleiner.

[Reactie gewijzigd door nexhil op 23 juli 2024 06:35]

[Verwijderd]

Dat is geen unieke feature van Mac ofzo.

[nexhil]

Het zit anders niet standaard in Windows.

[Soldaatje]

Omdat het ook niet nodig/nuttig is :

4 Conclusion
The purpose of this paper was a categorical settlement to the controversy surrounding
the misconceptions involving the belief that data can be recovered following a wipe
procedure. This study has demonstrated that correctly wiped data cannot reasonably
be retrieved even if it is of a small size or found only over small parts of the hard
drive. Not even with the use of a MFM or other known methods. The belief that a tool
can be developed to retrieve gigabytes or terabytes of information from a wiped drive
is in error.
Although there is a good chance of recovery for any individual bit from a drive, the
chances of recovery of any amount of data from a drive using an electron microscope
are negligible. Even speculating on the possible recovery of an old drive, there is no
likelihood that any data would be recoverable from the drive. The forensic recovery
of data using electron microscopy is infeasible. This was true both on old drives and
has become more difficult over time. Further, there is a need for the data to have been
written and then wiped on a raw unused drive for there to be any hope of any level of
recovery even at the bit level, which does not reflect real situations. It is unlikely that
a recovered drive will have not been used for a period of time and the interaction of
defragmentation, file copies and general use that overwrites data areas negates any
chance of data recovery. The fallacy that data can be forensically recovered using an
electron microscope or related means needs to be put to rest.

http://www.vidarholen.net...iting_hard_drive_data.pdf
Auteurs: Craig Wright, Dave Kleiman, and Shyaam Sundhar R.S.

[Reactie gewijzigd door Soldaatje op 23 juli 2024 06:35]

[witchdoc]

Jouw bron heeft het voor alle duidelijkheid over het achterhalen na een wipe he.. dus na alles een keer overschreven te hebben.
Na een standaard format is data uiteraard makkelijk terug te halen.

[ExtendedCaesar]

Je hebt in windows standaard SNEL formateren aan staan.. dit vinkje kun je echter ook uitzetten, en dan heb je een low level format.., die naar iedere sector een 0 schrijft. Wanneer je een low level format doet, kunnen de standaard tooltjes, voorzover ik weet, geen data maar recoveren, deze recoveren namelijk data die "verwijderd" is volgens het os, maar die nog niet overschreven is.

Om vervolgens deze data te revoceren zul je de schijf al naar bedrijven moeten sturen die er data vanaf halen door de schijf uit elkaar te halen en met een bepaald process de data met magneten kunnen terug halen.. hoe dit precies werkt weet ik niet.

Wat ik van die bericht mee krijg is dat er iemand een hekel heeft aan Microsoft, en dit in de pers flink aan geeft. Voor zover ik weet is het algemeen bekend dat CC gegevens serverside wordt opgeslagen, en niet op de xbox.

[real[B]art]

Je hebt in windows standaard SNEL formateren aan staan.. dit vinkje kun je echter ook uitzetten, en dan heb je een low level format.., die naar iedere sector een 0 schrijft.

Een low level format deelt een harde opnieuw in (tracks onderverdelen in blocks etc), iets wat eind jaren '80 iets was wat je als user zelf vaak moest doen. In de jaren '90 kon het soms nog wel, maar was het doorgaans niet meer nodig (en ook niet aan te raden). Vandaag de dag wil je absoluut geen low level format meer uitvoeren (kan ook meestal niet eens).

Het verschil tussen een quick format en een 'normale' format in Windows is dat bij een quick format enkel de FAT (File Allocation Table) leeg wordt gegooid en bij een 'normale' format het hele bestandssysteem opnieuw wordt geschreven.

[hiostu]

Dat soort tooljes zijn er ook genoeg voor windows te vinden. Microsoft geeft nergens aan dat met een format alle data permanent weg is en dat het nooit meer terug te halen is.

[nexhil]

In de tekst zelf staat dat volgend MS de data niet lokaal wordt opgeslagen.

[Saxsymbol]

Op dit moment vind het al lastig genoeg om mijn huidige creditcard gegevens uit mijn xbox te verwijderen en het uitzetten van de automatische afschrijvingen van xbox live.

[Bramji 117]

Je moet met xbox bellen om de automatische afschrijving uit te zetten

[S0epkip]

OT, maar: Neehoor, kan je gewoon via je live account op de website regelen.

[jvvj]

Volgens mij moet je minimaal 1 werkende betaalmethode hebben. Ik krijg het in ieder geval niet voor elkaar om online mijn -verlopen- credit card te verwijderen. Hetgeen echt apart is dat het MS is gelukt om van diezelfde verlopen credit card geld af te schrijven. Kreeg eerst net de melding dat het ze niet gelukt was geld af te schrijven (dus prima) maar later wel een afschrift van de bank... Verwijderen van oude gegevens lukt me niet - en het advies wat online staat is: bellen.

[Wolfos]

Tegenwoordig niet meer. Eerst moest dat wel, maar vorige maand hebben ze dat uitgezet en kreeg ik netjes een bericht dat mijn XBLG account ging verlopen.

[PjotrStroganov]

Je kunt momenteel je abo opzeggen via Xbox.com. Vroeger kon dit in Nederland alleen via de telefoon, maar inmiddels ook via Xbox.com.

Account>Automatische verlenging als ik het goed heb.

[TheKmork]

Offtopic maar ik heb net gekeken en ik zie de optie nergens staan. Als jij me kan vertellen hoe ik via de website mijn xbox live betalingen kan opzeggen hoor ik het graag.

Ontopic: Ik betwijfel toch enigszins dat deze CC informatie lokaal opgeslagen wordt, aangezien je toch eerst met Live moet verbinden voordat je iets ermee kan doen, en je CC gegevens ook al in Live opgeslagen worden. Het zou dus wat redundant zijn om het lokaal op te slaan. En daarnaast lijkt het me al helemaal sterk dat dit onversleuteld opgeslagen zou zijn. Ik denk niet dat Microsoft stom genoeg is om zoiets te doen na het hele schandaal omtrent de PSN hack.

[Blokker_1999]

Maar ik denk dus niet, zoals MS aangeeft, dat ze lokaal staan. Ze zijn gelinked aan je account op hun servers. En in theorie laat een firma je nooit je eigen cc nummer volledig zien maar enkel de laatste cijfers.

[Verwijderd]

Ik denk zelf dat dit weer zo'n artikeltje is zoals het artikeltje over de "onveiligheid" van de ING bankieren applicatie. Paar figuren die geen idee hebben wat ze aan 't doen zijn, verbinden wat conclusies aan een onbewijsbare bevinding. Ja, dat is serieus te nemen.

Éénvandaag deed precies het zelfde met de ING bankieren app. Lopen zeuren over het gebrek aan certificaatcontrole, terwijl dat er in die situatie niet toe deed, omdat de ING app meerdere andere methoden gebruikte die net zo veilig waren. Ook zulk dom sensatienieuws waar geen hout van klopt.

Hier precies het zelfde. Het gebrek aan bewijs spreekt al boekdelen. Één of andere student had een theorie en een stel wezenlozen verbinden er rare conclusies aan.

[Vastloper]

Helaas zullen we dat steeds meer krijgen omdat de hoeveelheid IT nieuws de laatste tijd zo significant deel is geworden van alle nieuwsredacties, terwijl daar nog altijd nauwelijks it specialisten zijn bijgekomen. Ook het feit dat nieuwsredacties steeds minder research zelf doen maar klakkeloos verhalen overnemen helpt absoluut niet.

Ook de nieuwere generatie die zogenaamd helemaal thuis zou moeten zijn in it hebben nauwelijks specialistische kennis over beveiliging. Omgaan met computers ed is echt iets heel anders dan daadwerkelijk begrijpen hoe dingen werken. Gebruikers worden juist steeds verder afgeleid van de echte werking van electronica met steeds gebruikersvriendelijke interfaces (wil niet zeggen dat dat per definitie slecht is).

Let wel ik heb het dus vooral over mensen zonder relevante it studie en andere uitzonderingen daargelaten. Ik heb het puur over mensen die denken het allemaal wel weten, alleen omdat ze in staat zijn internet explorer en google te kunnen hanteren.

Voordat zulke berichten gepubliceerd worden zouden op zijn minst echte it experts geraadpleegd moeten worden, helaas is men dan op veel sites bang dat ze dan te laat zijn met het nieuws kopieren ze maar klakkeloos.

[arbraxas]

Het word gewoon hoog tijd dat het CC systeem op de schop gaat.
Dat systeem is gewoon hopeloos verouderd. Het is sowieso kwetsbaar ook zonder fuckups van derde partijen.
In elk geval voor mij geen CC.
Natuurlijk zijn onze debitkaarten (aka pinpas) ook niet superveilig, maar de CC is gewoon een drama.

[SinergyX]

Wat is je alternatief? iDeal? Meer nadelen van voordelen. Telefoon/SMS? Nog lekker dan een CC. Telebanken? Zie recent nieuws. Incasso? Teveel rompslomp voor de bedrijven. Dat opzicht is Paypal bijvoorbeeld wel een mogelijkheid, maar die brengt weer transactiekosten in rekening. Checkout en overige werken weer met een gekoppelde CC.

Een CC is een international standaard, verder is er niets wat international meer geaccepteerd is (buiten cheque's, maar denk niet dat je daar mee wil werken).

Ik heb nu al meer fraude/oplichting/phising/misbruik meegemaakt met reguliere betalingen dan ik ooit heb gehad met mijn creditcard.

[Reactie gewijzigd door SinergyX op 23 juli 2024 06:35]

[Gé Brander]

Je kan gelijk hebben, maar heb je ook een oplossing in plaats van alleen maar te reopen dat het niets is?

[roy-t]

Hij noemt een oplossing: debitkaarten, daarmee kun je niets met alleen het nummer. Ook iDeal is een goed voorbeeld, het probleem van credit kaarten is dat er geen two-way verification is maar dat je met alleen 1 nummer, wat je aan iedereen moet geven, al geld kunt uitgeven.

[pizzafried]

De oplossing zou simpel moeten zijn...ik heb een creditcard/prepaidcard waarmee ik dus geld op de kaart zet en dat kan ik dan uitgeven.. kan ik toch met het zelfde gemak betalen zonder risico te lopen dat ik straks een rekening van hier tot tokio (letterlijk en figuurlijk) heb..nadeel is dat je dan van te voren geld er op moet zetten, maar wanneer een dergelijke kaart ook een aanpasbaar roodstaan-limiet heeft kun je evt onverwachte uitgaven doen...

[mystic101]

Zolang het meer voordelen dan nadelen kent zal het niet veranderen. Dit is vooralsnog het geval.

[Soldaatje]

Bij de meeste creditcard uitgevers krijg je een verzekering en als er plotseling veel geld uitgegeven wordt wordt ie geblokkeerd en wordt het niet in rekening gebracht.

[Douweegbertje]

Wat een onderzoek zeg.
Volgens mij is het toch algemeen bekend dat zomaar een "delete" op elk systeem het niet direct permanent verwijderd.
Dus dit onderzoek is een beetje half-half en ik mis ook gewoon wat feiten in dit artikel.

Even een paar dingen:

Stel dat ik - zelf - mijn xbox of elk ander systeem (iets waar ik zo terug op kom) zou "resetten" vind ik dat ik zelf verantwoordelijk ben voor mijn gegevens.

Waar ligt het probleem dan meer?
- Dat het niet algemeen bekend is dat er bepaalde gegevens aanwezig zijn op het systeem. Ik denk dat haast 99% van de gebruikers of misschien wel meer, geen flauw idee heeft dat er daadwerkelijk CC gegevens en andere persoonsgegevens worden opgeslagen op hun systeem.
- Dat het niet algemeen bekend is, dat kwaadwillende gegevens zouden kunnen terug halen.

Nou, dan is nu deels de vraag: wie is er verantwoordelijk?

- MS verkoopt een Xbox aan een persoon X. Zijn hun dan verantwoordelijk voor heel de afhandeling als jij dat ding verkoopt aan een persoon Y? Als ik het zelf zou moeten bekijken dan ben je daar zelf gewoon verantwoordelijk voor.

Stel dat jij je xbox terug zou geven aan MS, en hun verkopen dit weer als 2e hands, dan vind ik dat dat bedrijf (al was het een ander bedrijf geweest) de verantwoordelijkheid moet nemen om te zorgen dat hij ook echt gewoon "clean" is. En dit gaat in dit geval gewoon niet op in dit verhaal.

Dan vind ik het zelf nogal makkelijk om een één of ander simpel onderzoek uit te voeren, waarbij je 1 specifiek bedrijf "zwart" maakt over hoe slecht hun product is.
Mogen we dan ook even onderzoeken verwachten van:

- Alle harde schrijf makers: "ik doe een format" , goh, maar toch kun je nog alles, al dan niet veel data terug krijgen.
- Flashkaartjes van bijvoorbeeld mobiele telefoons en foto camera's: Ja, verkoop jij je toestel en heb je even al je foto's verwijderd? Mooi, want dan kun je nog steeds een groot gedeelte al dan weer niet alles terug krijgen.
- Het is zelfs voorgekomen dat officiele refurbished harddisk nog data van een voorgaande gebruiker bevatte omdat dit slecht was removed.

Zo kan ik nog wel even doorgaan.

Dus als ik dan zelf even mijn conclusie mag geven: Voor een onderzoek van 2 universiteiten die hier als onderzoekers worden genoemd is dit een bar slecht onderzoek die totaal niet verder kijken naar het echte probleem en maar wat "rand" posten gebaseerd op een test op één systeem waarbij dit probleem voor komt op vrijwel ALLE storage producten.

Mensen die in het bedrijfsleven hebben gewerkt, en een oude PC/ server hebben moeten weg gooien, hebben volgens mij toch nog wel eens een HD meerdere keren een geformat gegeven en/of met een speciaal programma, en vervolgens met een hamer heel dat ding aan gort geslagen al dan niet spijkers er in geslagen?

En als ik de bron nog even in twijfel mag trekken:

Het is wel weer -heel- toevallig dat de eerste comment bestaat uit :

"hoe kan ik dan toch wel goed mijn data verwijderen".

en dan het tweede comment die bestaat uit:

"een foto van een xbox transfer kit, dat het wellicht daar mee lukt".

[Reactie gewijzigd door Douweegbertje op 23 juli 2024 06:35]

[ironx]

Kans dat er *enige* data gevonden kan worden lijkt me echter wel groter bij een 2e hands gekochte console via eBay/Marktplaats/etc...

Als je dan eventueel login-gegevens kunt vinden zou je in het account kunnen inloggen (via console of website). Maar dan nog krijg je volgens mij niet alle gegevens te zien zoals het volledige CC-nummer en het controle-nummer.

[Reactie gewijzigd door ironx op 23 juli 2024 06:35]

[Martinspire]

Wordt met de bestanden+mappen van de console bedoeld wat er op de memorystick of hd aan downloads staat? Of wat er op de console zelf staat opgeslagen? Want voor zover ik weet is het nog niet gelukt om bij het daadwerkelijke OS te komen. En ook het uitlezen van de bestanden is volgens mij toch nog niet gelukt? Enige wat ze wel doen is de firmware herschrijven van de discdrive, maar het OS zelf was nog niet gekraakt?

[_Thanatos_]

zegt Podhradsky, waarbij hij er snerend op wijst dat hetzelfde geldt bij het formatteren van een schijf met Windows.

Dat komt vooral door de naamgeving van "snelformatteren". Dat je die optie niet gebruikt, is daarna een harddisk (en een SSD helemaal) zonder specialistische technieken niet meer te restoren.

[Deralte]

Complete onzin natuurlijk. Een geformatteerde harde schijf kan je met forensische software makkelijk herstellen. Overschrijven met willekeurige data is efficiënter...

[OpenMinded]

inderdaad onzin. Snelformat schrijft volgens mij alleen een 0 naar de beginnen van bestanden en is daarmee dan ook simpel te recoveren.
Normaal formatteren overschirijft alles volgens mij 1 keer en dat is nog steeds terug te halen.
Het moet vele keren overschreven zijn met andere data voor het niet terug te halen is.
Daar zijn overigens prima tootjes voor. In mac os x heb ook: secure delete trash

[_Thanatos_]

Forensische software ja. En die heeft ook iedereen rondslingeren

Knappe jongen trouwens als je met puur software in een doodnormale pc een geformatteerde harddisk kan restoren. Met een snelformat is het kinderspel ja, dan heb je genoeg aan een simpel unformat-tooltje, maar een normale format lijkt me far-fetched.

Zo compleet is die onzin dus niet. Als jij je harddisk volledig formatteert door te overschrijven met nullen, dan is je data voldoende vernietigd voor een volgende (normale) gebruiker.

[OpenMinded]

Ik snap de titel niet? Er blijkt duidelijk uit onderzoek dat creditcard gegevens te achterhalen zijn en de titel suggereert richting de leugens van Microsoft dat het onwaarschijnlijk is?

[Xthemes.us]

waarbij hij er snerend op wijst dat hetzelfde geldt bij het formatteren van een schijf met Windows.

Dat is op zich wel een goed punt, ze mogen wat dat betreft best een vinkje toevoegen "grondig verwijderen" of zoiets, dat de data eerst een paar keer met onzin wordt overschreven. Dat gegevens na een format nog redelijk simpel terug te halen zijn is natuurlijk niet iets waar veel mensen rekening mee houden als ze al de moeite nemen om de computer te formatteren altenvoren deze door te verkopen.

[ArcticWolf]

Dat kan hoor... snel formatteren is voor de meeste genoeg maar je kan ook gewoon formatteren klikken dat duurt een paar uur voor een simpele 500gb schijf, tis maar wat je leuker vindt.

[Verwijderd]

Met gewoon formatteren wordt de data nog steeds niet overschreven. Het verschil met snel formatteren is dat er ook een scan op bad sectors wordt gedaan, meer niet.

[Soldaatje]

Dat was tot Vista het geval:

The format command behavior has changed in Windows Vista. By default in Windows Vista, the format command writes zeros to the whole disk when a full format is performed. In Windows XP and in earlier versions of the Windows operating system, the format command does not write zeros to the whole disk when a full format is performed.

http://support.microsoft.com/kb/941961