Neue Angriffsform auf OpenSim-Grids?

[Jupiter Rowland]

Es sieht also so aus, als ob nur die Dream Grids in Gefahr sind, oder?

Ist noch nicht bekannt. Es scheint auf jeden Fall mit diesem Parameter zusammenzuhängen.

Und ob das auch Vanilla-OpenSim betrifft oder andere Forks wie Arriba/Freaky/FreAki, und welche Betriebssysteme das betrifft, ich hoffe, das finden wir nicht auf die harte Tour raus.

Resurgence ist jedenfalls fürs erste wieder da, es heißt jetzt Raven's Peak, und es wurde wiederaufgebaut aus einem Monat alten Backups. Entweder waren die sauber, oder die sind gesäubert worden.

[Leora Jacobus]

Ich hoffe mal mein Standalone - das garnicht am Hyoergrid ist - ist nicht betroffen.

Und Craft World auch nicht und OSGrid und Carima und ...

[Mareta Dagostino]

Und ob das auch Vanilla-OpenSim betrifft oder andere Forks wie Arriba/Freaky/FreAki, und welche Betriebssysteme das betrifft, ich hoffe, das finden wir nicht auf die harte Tour raus.

Das wird man so pauschal auch nie sagen können. Falls die beiden genannten Parameter notwendige Bedingung für einen erfolgreichen Angriff sein sollten, kann jede*r Gridowner*in selber in der eigenen .ini nachschauen - im bin Verzeichnis der eigenen OpenSim Installation. Schließlich kann niemand von außen wissen, wie viele Leute auf dem Weg von der Vanilla bis zur verwendeten Beispielkonfiguration die Finger dran hatten. Die Original-Vanilla hat nicht dran rumgefingert, siehe meinen letzten Post. (Freakys alter Fork auch nicht, und Akis Mod ist überhaupt nicht öffentlich verfügbar.)

Betroffen sind alle Betriebssysteme, der Angriff zielt ja auf OpenSim. Es wird einfach gewartet, bis - von wem auch immer - genügend kaputte Backups erzeugt wurden, bevor die Schadroutine aktiv wird.

Echte Standalone Grids verwenden keine Robust.ini, sind also nicht betroffen. Allerdings wird in der Community alles Mögliche als "Standalone" bezeichnet. Wer außer der OpenSim.exe (bzw. ab 0.9.3 jetzt .dll) noch weitere Dienste vorab starten muss, hat in der Regel ein Grid und keine Standalone.

Fazit: Einfach selber nachschauen statt spekulieren und hoffen.

[Dorena Verne]

Sorry, aber wer nicht dazu imstande ist in einer Ini ein "true" auf "false" zu setzen, sollte sich echt überlegen überhaupt ein Grid zu betreiben...
Wenn der Ersteller der Dreamwold-Geschichte tatsächlich so einen Mist gebaut hat,..auweia.

[Jupiter Rowland]

Betroffen sind alle Betriebssysteme, der Angriff zielt ja auf OpenSim. Es wird einfach gewartet, bis - von wem auch immer - genügend kaputte Backups erzeugt wurden, bevor die Schadroutine aktiv wird.

Wobei der Angriff auf Resurgence ja nicht nur ein Angriff auf die Grid-Daten war. Es wurden also nicht nur die Datenbanken zerstört und in-world Objekte geparkt, die auch die jüngeren Backups unbrauchbar gemacht haben.

Wenn ich den Post auf OSW richtig verstanden habe, wurde das Grid komplett vom Server gelöscht. Also inklusive der Installation selbst. Definitiv aber inklusive sämtlicher Backups. Die wurden nicht infiziert, sondern gelöscht. Und ich glaube kam, daß das cross-platform nur mit In-World-Assets geht.

Das wird eher so gewesen sein, daß da jemand den Fernwartungszugang, den ja dieser Parameter mitsteuert, genutzt hat, um sich auf den Server zu schalten, und zwar auf Systemebene, und da ganze Dateien und Ordner gelöscht hat. Denn wenn Ferd Frederix diesen Zugang nutzen kann, um irgendwelchen DAU-Admins ihre kaputtgespielten Grids wieder gangbar zu machen, notfalls mit Hochladen verdaddelter Dateien, können Halunken denselben Zugang nehmen, um das Grid komplett zu löschen.

[Bogus Curry]

Oder der Admin will sich einfach nur rausreden und hat selbst da den Big Dau verursacht, aber ich glaube so blöd kann doch keiner sein oder ? Eher das jemand das PW rausbekommen hat und halt sich dann auf den Server sich eingeloggt. Mich würde mal intressieren, wie das PW gespeichert wird, wenn das so wie bei Wordpress in Klarnamen, dann ist klar das ein Hacker sich sehr leicht einloggen kann.

Warum unterstützt Opensim eigentlich kein https ? Oder wird das schon unterstützt ?

[Xenos Yifu]

Mich würde mal intressieren, wie das PW gespeichert wird, wenn das so wie bei Wordpress in Klarnamen, dann ist klar das ein Hacker sich sehr leicht einloggen kann.

Ohhhh, ist das so?

[Mareta Dagostino]

Warum unterstützt Opensim eigentlich kein https ? Oder wird das schon unterstützt ?

Nicht jeder Viewer kann damit umgehen, und es ist schwieriger zu administrieren, alle müssen dann ja gegenseitig ihre Zertifikate prüfen können. Kostenpflichtige Zertifikate wird sich kaum einer leisten wollen, so fürs Hobby. Klar könnte man sowas wie Let's Encrypt implementieren, aber wer ist "man"? Und nicht zuletzt wird es anfangs unrund laufen, denn wenn das bisher fast niemand nutzt, wird es auch noch ziemlich buggy sein. Die OpenSim Software ist halt alt, und wir sollten froh sein, dass Ubit sie noch am Leben halten kann.

Im Ocean Grid wurde https mal versucht und darüber gibt es einen Blog. Bitte ggf. selber in Google Translator werfen:
https://starflowerbracken.wordpress.com/...n-opensim/

----

@Xenos: Bogus meint vermutlich das im Klartext gespeicherte SQL-Passwort in der Wp-config.php. Das kann man aus meiner Sicht verschmerzen, denn wenn das richtig konfiguriert ist, sieht nur der Admin diese Datei. Und Admin kann die Datenbank eh auch anders löschen.

[DJ Archie]

Die OpenSim Software ist halt alt, und wir sollten froh sein, dass Ubit sie noch am Leben halten kann.

Liebe Mareta, bei der Entwicklung von FLOSS-Software ist es üblich, dass der Hauptentwickler, den Erfordernissen entsprechend, für eine stetige Weiterentwicklung der Software sorgt, sie also nicht nur irgendwie am Leben erhält. Mittlerweile beträgt der technologische Rückstand vom OpenSimulator gefühlte 13 Jahre, und es fehlen nach wie vor zwei wichtige Komponenten, welche jede VR-Suite beinhalten sollte, nämlich Viewer sowie Mesh-Editor. Eine legale Weiterentwicklung unserer Avatare findet überhaupt nicht statt! Warum ist das so? Was unterscheidet OpenSim von faktisch allen anderen Softwareprojekten? Warum funktionieren denn Projekte wie der Linux-Kernel, GIMP, oder LibreOffice nahezu vorbildlich?

[Mareta Dagostino]

Was ich mir wünsche, ist das eine - die Realität leider eine andere. Ja, technisch gesehen ist OpenSim verloren, es wird noch eine Weile gehen, und irgendwann kaputt gehen. Ohne Ubit wäre es längst kaputt. Ernsthafte Weiterentwicklung kann als nahezu Einmannprojekt niemand von Ubit erwarten, er tut halt was er kann. Alle mir bekannten Open Source Alternativen haben leider derzeit keine nennenswerte Community, verschiedene sind ja hier im Forum schon diskutiert worden.

Aber ich glaube, das sollten wir nicht hier unter diesem Spezialthema (Spekulationen über einen bestimmten Angriffsvektor) weiter führen, sondern ggf. einen neuen Thread aufmachen.