Warnung vor dem ScammerRadar-Addon: Datenschutzlücken & technische Risiken

.

Fazit: Das Scammerradar sprengen

Kann dir beim dritten Punkt nur zustimmen! Ich musste leider selbst schon diese unangenehme Erfahrung mit sebisgrube machen. Ein- und Austragungen sind komplett willkürlich und absolut unfair, besonders wenn das Team nicht gut auf einen zu sprechen ist.

Aber das, was du da herausgefunden hast, sprengt wirklich den Rahmen. Ich hoffe inständig, das Team reagiert darauf und es folgen Konsequenzen!

Für mich der sich wirklich absolut null mit solchen Codes auskennt - wenn ich das richtig verstehe ist ein IP Logging unter den Umständen ja gesetzeswidrig und sogar rechtlich strafbar oder ?

Zum Thema inaktivität. wird bei mir im Stream ja auch immer wieder geschrieben von Usern, dass sich absolut halt niemand mehr um das Projekt kümmert. Vor einigen Jahren war das ganze ja noch richtig gut aber ich denke man sollte nun endlich einen Schlußstrich ziehen, vor allem weil 1. anscheinend kein Interesse der Betreiber mehr so richtig besteht und 2. sich nun anscheinend ein rechtlich verbotener Aspekt aufgetan hat der dem Betreiber ein schönes Sümmchen kosten könnte, wenn dies einer zur Anzeige bringt, oder lieg ich da jetz komplett falsch, was natürlich sein kann xD

wie deutsch will man sein? dsgvo für ein community projekt wie das. ich werd mir das mal genauer ansehen und schaun ob da was dran ist

Echse hol deine Jura Skills raus😈😈

Wenigstens ist das Plesk hinter der DB auf dem fast neusten Stand immerhin

woher leitest du denn IP Logging her, würde mich brennend interessieren

Zitat von Aktenkoffer

woher leitest du denn IP Logging her, würde mich brennend interessieren

IP Adressen werden von jedem Server automatisch gespeichert. Das ist auch OK und da muss auch noch nichts anonymisiert werden. Wenn ich aber einen API Key mitsende, der z.B.: durch eine UUID (MC Accountname) erstellt wird, ist es nicht mehr ganz so einfach, da muss dann eine Anonymisierung stattfinden.

Ließt man also den Text, dass er GeGhosted wurde im Bezug auf das Thema, lässt sich drauf schließen das dies nicht der fall ist (Anonymisierung).

hab mir den post mal angeschaut, technisch hält das nix

der code macht nen stinknormalen HTTPS GET mit API key header. dass dabei die IP "übertragen" wird ist schlicht wie TCP/IP funktioniert, macht jeder HTTP request der welt. daraus IP logging zu machen ohne zu wissen was der server tut ist quatsch

screenshot 2 ist übrigens gar nicht scammerradar sondern mojangs offizielle profile api (api.minecraftservices.com). als beweis mit reingeworfen sagt eig schon alles

post schreibt "Shodan analyse", zeigt aber nen urlscan.io screenshot, sind zwei komplett verschiedene tools. und der scan zeigt nix verdächtiges, IONOS, gültiges TLS, 100% HTTPS, keine verdict. welche offenen ports und fehlkonfigurationen konkret? steht nirgends

berechtigt wäre höchstens die frage nach ner datenschutzerklärung, das ist nen compliance thema vom betreiber. aber wie das hier aufgezogen ist (drei dramatische absätze, generische doom sätze, am ende plötzlich team drama) liest sich wie chatgpt mit prompt "schreib warum scammerradar gefährlich ist". section 3 mit dem ghosting/machtmissbrauch ist vermutlich das eigentliche anliegen, rest is technisches dressing

Zitat von KikiTheOnex3

Zitat von Aktenkoffer

woher leitest du denn IP Logging her, würde mich brennend interessieren

IP Adressen werden von jedem Server automatisch gespeichert.

nein

Zitat von Aktenkoffer

hab mir den post mal angeschaut, technisch hält das nix

der code macht nen stinknormalen HTTPS GET mit API key header. dass dabei die IP "übertragen" wird ist schlicht wie TCP/IP funktioniert, macht jeder HTTP request der welt. daraus IP logging zu machen ohne zu wissen was der server tut ist quatsch

screenshot 2 ist übrigens gar nicht scammerradar sondern mojangs offizielle profile api (api.minecraftservices.com). als beweis mit reingeworfen sagt eig schon alles

post schreibt "Shodan analyse", zeigt aber nen urlscan.io screenshot, sind zwei komplett verschiedene tools. und der scan zeigt nix verdächtiges, IONOS, gültiges TLS, 100% HTTPS, keine verdict. welche offenen ports und fehlkonfigurationen konkret? steht nirgends

berechtigt wäre höchstens die frage nach ner datenschutzerklärung, das ist nen compliance thema vom betreiber. aber wie das hier aufgezogen ist (drei dramatische absätze, generische doom sätze, am ende plötzlich team drama) liest sich wie chatgpt mit prompt "schreib warum scammerradar gefährlich ist". section 3 mit dem ghosting/machtmissbrauch ist vermutlich das eigentliche anliegen, rest is technisches dressing

---

Zitat von KikiTheOnex3

IP Adressen werden von jedem Server automatisch gespeichert.

nein

Alles anzeigen

in Jeden nginx oder apache log stehen IPs mit jedem Get.
Ausserdem ist das ein Plesk der da läuft und hat einen Fail2Ban (Standart ab Obsidian)

Zitat von KikiTheOnex3

Zitat von Aktenkoffer

hab mir den post mal angeschaut, technisch hält das nix

der code macht nen stinknormalen HTTPS GET mit API key header. dass dabei die IP "übertragen" wird ist schlicht wie TCP/IP funktioniert, macht jeder HTTP request der welt. daraus IP logging zu machen ohne zu wissen was der server tut ist quatsch

screenshot 2 ist übrigens gar nicht scammerradar sondern mojangs offizielle profile api (api.minecraftservices.com). als beweis mit reingeworfen sagt eig schon alles

post schreibt "Shodan analyse", zeigt aber nen urlscan.io screenshot, sind zwei komplett verschiedene tools. und der scan zeigt nix verdächtiges, IONOS, gültiges TLS, 100% HTTPS, keine verdict. welche offenen ports und fehlkonfigurationen konkret? steht nirgends

berechtigt wäre höchstens die frage nach ner datenschutzerklärung, das ist nen compliance thema vom betreiber. aber wie das hier aufgezogen ist (drei dramatische absätze, generische doom sätze, am ende plötzlich team drama) liest sich wie chatgpt mit prompt "schreib warum scammerradar gefährlich ist". section 3 mit dem ghosting/machtmissbrauch ist vermutlich das eigentliche anliegen, rest is technisches dressing

---

nein

Alles anzeigen

in Jeden nginx oder apache log stehen IPs mit jedem Get.
Ausserdem ist das ein Plesk der da läuft und hat einen Fail2Ban (Standart ab Obsidian)

Alles anzeigen

"jeder Server loggt automatisch IPs" stimmt halt einfach nicht, das ist Konfiguration nicht Default Naturgesetz. Und Plesk + Fail2Ban sind zwei komplett andere Themen.

Zum Glück hab ich keine Ahnung um was es geht, aber im Prinzip sollte doch schon jeder selber hinterfragen was für tools sinnvoll sind und welche nicht. Wo man sich jetzt unbedingt Verifizieren muss und was man auch einfach seinlassen kann, aus Eigenschutz seinen Persönlichen Daten. Dieses ganze scammerradar zeugs hat mich früher eh nie gross interessiert, wer die Tricks kennt konnte sich danach einstellen. Nimmt euch etwas Zeit im Spiel und lernt von älteren Spielern wie man richtig Handelt oder sich vor ungeziefer schützt.

so wem geht der A*** auf grundeis ,mir wäre es neu das da Ip-logging betrieben wird.

deren infos sind ausschliesslich von der Datenbank von Mojang/Microsoft.

das heisst du Registrierst dich mit deinem Namen und deren system generiert eine UUID daraus und das nimmt wohl das Scammerradar als info.

weil wenn es denn so ist wieso schiesst du nicht gleich gegen das Community-Radar welche auf dem selben teil basiert

oder geh einfach gegen GG vor weil die loggen deine Ip auch ,weil wenn du misst baust sind das beweise für den Staatsanwalt ...

griefergames loggt auch eure IP

ALARM ALARM

Client-IP wird zwangsläufig bei HTTP/HTTPS Verbindungen mit gesendet.

Der feste API-Key sammelt keine Spielerdaten des Nutzers. Er ist für alle Nutzer gleich und wird nicht dynamisch erstellt.

Aus den Screenshots lässt sich kein Fluss von Personenbezogenen daten, zu den privaten scammerradar server ersehen.
IP des absenders einer request ist technisch immer sichtbar, heisst nicht dass man diese speichert.

Können uns gerne im Discord zusammensetzen, lasse mich gern vom gegenteil überzeugen vorkampff

Der 1. Beitrag liest sich für "Nicht-Computer-Nerds" erstmal reißerisch und (offenbar bewusst) beängstigend. Was mit dem Beitrag überhaupt bezweckt werden will, bleibt mir ein Rätsel. Statt handfester Beweise wird hier mit Halbwahrheiten und Spekulationen umhergeworfen, was niemanden etwas bringt.

Zum Rest: Datenschutz ist wichtig, ja. Aber ob es jetzt wegen einer (technisch sicher nicht anders lösbaren) IP-Übermittlung zwingend eine DSGVO Erklärung benötigt, ist fraglich.

Dass das SR-Team auf freiwilliger Basis arbeitet, in ihrer Freizeit, neben Job/Schule/Familie lässt auch darauf schließen dass Kommunikationswege länger dauern können. Wenn es ein Paid-Projekt wäre, würde ich hier einen klaren Grund sehen, das Verhalten anzuprangern. Aber bei einem Community-Projekt zu verlangen dass Tickets möglichst schnell bearbeitet werden, halte ich für überzogen.