היזם תוכנה הימורים עובר לתקן פגמים משחק פוקר

מפתחת תוכנה לפוקר מתכננת ליישם תיקון השבוע עבור פגיעות שהתגלתה לאחרונה על ידי שני חוקרי אבטחה אשר ניתחו את אחת מהיישומי ההימורים שלה.

קבוצת B3W, הממוקמת במלטה, אמרה כי זיהתה את בעיית השורש שצוינה בדו"ח שפורסם בשבוע שעבר על ידי לואיג'י Auriemma ו Donato Ferrante של ReVuln, ייעוץ פגיעות ייעוץ גם מבוסס במלטה.

B3W עושה מגוון של תוכנות הימורים, כולל זה המשמש פוקר באינטרנט חדרים, הידוע גם עורות, עבור וריאציות של פוקר כגון טקסס הולדם, אומהה ו סטאד. משחקי פוקר רבים דורשים ממשתמשים להוריד תוכנות למחשב שלהם, אשר מתקשר עם שירות אינטרנט למשחק ריאליסטי בזמן אמת. [

[קריאה נוספת: כיצד להסיר תוכנות זדוניות ממחשב Windows]

דוח של ReVuln, אשר גם הסתכל על מוצרים של חברות Microgaming ו Playtech, התמקדו בתוכנות פוקר מאז הלקוח שהורדת מאפשר התוקפים כדי להעיף מבט טוב על חלק של עיצוב התוכנה של המשחק.

AJ תומפסון, מנהל האסטרטגיה של B3W, כתב ב דוא"ל לשירות חדשות IDG כי שחקנים באמצעות התוכנה שלה לא נפרצו ב -12 שנים של הפעלה מקוונת. B3W לוקח ברצינות רבה את "הביטחון של הלקוחות שלנו", כתב.

החוקרים מצאו כי התוכנה של B3W מעדכנת את עצמה על חיבור HTTP לא מאובטח. קבצים מעודכנים מאוחסנים ללא חתימות דיגיטליות, וקבצי ".exe" אינם מאומתים לפני ההתקנה. הם גם מצאו בעיות עם איך התוכנה של B3W מאחסנת סיסמאות במחשב של אדם.

תקן התעשייה להפצת לקוחות פוקר חדשים היא באמצעות רשתות העברת תוכן, כתב תומפסון. B3W משתמש ב- CDN מ- Fileburst.

שימוש בחיבור מאובטח עם Fileburst אפשרי, אך תעודת האבטחה החתומה דיגיטלית לא תתאים לזאת של התוכנה המועברת, כתב תומאס. אבל B3W מצאה פתרון על מנת לספק עדכונים מאובטחים.

"לפיכך החלטנו להעביר את כל הלקוחות המעדכנים למרכזי הנתונים שלנו על SSL [Secure Sockets Layer] באמצעות אישור חתום שאמין בקוד הלקוח של הפוקר" הוא כתב.

השינויים יבטלו שלוש סוגיות המתוארות על ידי ReVuln, כולל אלה סביב ביצוע קובץ לא מאומת, בעיה בספריה חוצתית וגלישת מאגר חיץ המבוססת על מחסנית, כתב תומפסון.

B3W לא החליטה כיצד לטפל סיסמאות שנשמרו על ידי לקוח הפוקר. סיסמאות שאינן מאוחסנות על ידי מפתח מפתח סיסמה יכול להיות רק מטושטשת, וכדי ליצור סיסמה עבור סיסמה יהיה פחות נוח עבור שחקנים, כתב תומפסון.

"יש לנו לבנות של לקוח אשר אינו מאפשר שמירת הסיסמה, ואנחנו שוקלים את ההקדמה של זה לבניית הלקוח הליבה, "כתב תומפסון