Die neue Startseite von OGame hat ein dickes Sicherheitsproblem. Beim Abschicken der Daten (also beim Klick auf den Login-Button) werden unter anderem die Passwörter (aber auch der Username usw.) im Klartext angezeigt.

Die entsprechende URL, die kurzfristig zum Login aufgrufen wird ist nach folgendem Schema aufgebaut:

http://[...]login=USERNAME&pass=PASSWORT&v=2&is_utf8=0

Die Variablen werden dabei per GET Anweisung übergeben.
Das dies problematisch ist kann man sogar in der Wikipedia nachlesen:

POST ähnelt der GET-Methode, nur dass ein zusätzlicher Datenblock übermittelt wird. Dieser besteht üblicherweise aus Name-Wert-Paaren, die aus einem HTML-Formular stammen. Grundsätzlich können Daten auch mittels GET übertragen werden (als Argumente im URI), aber die Übertragung der Argumente erfolgt bei POST diskret (wichtig bei sensiblen Daten), und die zulässige Datenmenge ist deutlich größer.

Erstaunlich also, das derartige Grundlage in der Programmierung bei der OGame-Startseite außer acht gelassen wurden. So kann jeder der ebenfalls an diesem Rechner sitzt aus dem Browserverlauf die Zugangsdaten für einen Account rekonstruieren.

Das Problem ist mittlerweile seit fast einem Monat bekannt.

1. Thread vom 22.Juni:

http://board.ogame.de/index.php?page=Thread&threadID=726253

http://board.ogame.de/index.php?page=Thread&threadID=727045

http://board.ogame.de/index.php?page=Thread&postID=1882902664

In der Zeit gab es zwar Neuerungen beim Redesign (das mittlerweile wieder zurückgenommene Update 15 in Uni6), die Sicherheitslücke beim Login besteht aber weiterhin. Natürlich liegt derzeit die Priorität beim Redesign aber die Startseite bleibt ja wahrscheinlich bestehen. Selbst wenn nicht: Auch ein Monat mit einer solchen Lücke ist deutlich zuviel, insbesondere da nach wie vor die Maxime herrscht, dass es bei OGame wegen gehackten Accounts keine Rückerstattungen oder pBUs gibt.

Vor diesem Hintergrund kann man jedem Nutzer an öffentlichen PCs (zum Beispiel in der Schule oder in Internetcafes) nur folgende Ratschläge ans Herz legen:

- Cookies löschen
- Verlauf leere
- wenn möglich “Private Mode” des Browsers nutzen