Pourquoi Steam insiste-t-il tant sur la sécurité?
Y a-t-il une raison particulière pour laquelle l'application Steam tente d'être aussi sécurisée? Cela semble vous obliger à prendre plus de mesures de sécurité (authentification à deux facteurs, e-mails confirmant toutes les transactions, etc.) que la plupart des banques.
Est-ce dû au fait que le logiciel Steam comporte des risques de sécurité inhérents associés, ou est-ce simplement parce qu'ils veulent éviter que les gens se plaignent que leur compte a été piraté?
Y a-t-il une raison pour laquelle Steam tente d'être plus sûr que la plupart des banques?
Steam compte environ 100 millions d'utilisateurs ( lien aléatoire disant qu'ils en avaient 75 millions il y a presque 2 ans ). S'ils dépensent en moyenne 10 $ par an, nous parlons de 1000000 $ par an - et je dirais que c'est une estimation prudente ( lien aléatoire disant qu'ils avaient 1 milliard de revenus en 201 ). C'est le même type d'argent que les petites banques traitent .
Ensuite, il y a presque certainement un grand nombre d'attaquants de faible technologie . La vapeur est utilisée par de nombreux enfants qui n'ont pas encore une bonne compréhension de la légalité, donc au moins certains d'entre eux essaieront de voler le compte de cet autre enfant qui sent drôle. Pour être clair: "quelques" de 100 millions sont des "lots". Ces attaquants vivent souvent dans la même ville et ont peut-être même vu l'autre enfant taper le mot de passe auparavant, ce qui brise certaines sécurités traditionnelles basées sur la plage IP et les mots de passe. Les comptes volés entraînent des coûts de support client. Les rapports répandus de comptes volés créent une mauvaise presse, ce qui détruit la confiance. Pour un marché numérique, la confiance c'est de l'argent.
Valve travaille également avec un grand nombre de partenaires. Ces partenaires peuvent agir de manière malveillante et tenter d'interrompre/abuser du processus de facturation , ce qui nuira directement à la réputation de Steam et donc perdra de l'argent sérieux à Valve, sauf si l'abus est détecté et traité rapidement.
ÉDITER:
[...] suffisamment d'argent circule maintenant dans le système pour que le vol de produits Steam virtuels devienne une véritable entreprise pour les pirates informatiques qualifiés [...] Nous voyons environ 77 000 comptes piratés et pillés chaque mois. - 9 décembre 2015 http://store.steampowered.com/news/19618/
Donc, en plus d'un grand nombre d'attaquants de faible technologie, il existe également un grand nombre d'attaquants de haute technologie.
Je pense que c'est très compréhensible, surtout pourquoi ils ressentent le besoin d'imposer des mesures de sécurité à l'utilisateur:
- Un compte Steam peut être un atout très précieux, de nombreuses bibliothèques Steam coûteraient facilement des centaines, voire des milliers à remplacer
- Souvent, les gens ne traitent pas leur compte Steam avec autant de soin que les autres comptes, par exemple un e-mail ou un compte bancaire
- Une fois volé, il est très difficile de déterminer le propriétaire légitime. Contrairement à une institution financière, ils ne peuvent pas demander à un utilisateur d'apporter une pièce d'identité à une succursale.
- De nombreux enfants utilisent Steam. Les informations concernant les enfants méritent un niveau de protection plus élevé
- On ne peut pas nécessairement faire confiance aux enfants utilisant Steam pour être soucieux de la sécurité. Ils peuvent partager leurs mots de passe, etc.
- Le vol de votre compte créerait une impression très négative du modèle de distribution Steam. Beaucoup de gens blâmeraient Steam et le modèle de distribution qu'ils essaient de défendre, même si l'utilisateur était entièrement responsable.
- Il existe un énorme marché pour les comptes Steam volés, et il est assez facile d'en voler un à l'aide de méthodes peu sophistiquées telles que le phishing
La vraie raison est la fraude. Une arnaque typique ressemble à ceci:
- L'escroc achète un jeu dans le magasin Steam ou un article dans le Marché Steam en utilisant une carte de crédit ou un compte volé. De nombreux articles CS: GO, TF2 et Dota 2 valent 100 $ ou même 1 000 $, donc ce ne sont pas des arnaques à un sou dont nous parlons.
- L'escroc vend ensuite l'article à un utilisateur sans méfiance pour une valeur légèrement inférieure à la valeur marchande en utilisant un site comme tf2outpost.com ou steamtrades.com . Si le compte volé a une grande réputation sur ce site, il sera facile de convaincre l'utilisateur non méfiant de payer avec Paypal.
- Plusieurs jours ou semaines plus tard, le véritable propriétaire de la carte de crédit/compte se rend compte que ses informations d'identification ont été volées et émet un rejet de débit.
Maintenant, l'argent qui aurait autrement été remis à Valve va à la place de l'escroc. C'est également la raison pour laquelle les objets achetés sur le marché Steam sont désormais non échangeables pendant 7 jours (30 jours pour les jeux).
Valve est une entreprise privée et ne publie pas publiquement ses états financiers, mais de grandes sociétés similaires comme Sony et Microsoft perdent des millions par an à cause de ce type de fraude par carte de crédit.
Une autre chose qui n'est pas mentionnée dans les autres réponses est l'impact de la structure de Valve en tant qu'entreprise et leurs philosophies pour des solutions évolutives.
La plupart des employés de Valve (sinon tous) sont embauchés dans la culture de Valve où chaque personne travaille sur le projet de son choix, surtout si elle estime que c'est la contribution la plus précieuse qu'elle peut apporter à l'entreprise. Pour des raisons compréhensibles étant donné cette culture, peu d'employés chez Valve s'intéressent au service client/au traitement des réclamations.
De plus, Valve considère les solutions axées sur la communauté/les jeux comme un moyen principal de rendre les fonctionnalités évolutives. Voir aussi: balises Steam, avis, etc.
Pour ces raisons et parce que Steam a subi une vague de vols de comptes en raison de la grande valeur réelle des articles TF2 et CS: GO, Valve a naturellement opté pour l'authentification à deux facteurs en tant que moyen de réduire le nombre de les cas de vol de compte stupéfiant qu'ils devaient gérer. Ils ont en outre adopté l'adoption du jeu de l'authentification à deux facteurs en faisant un nouveau niveau du badge de la communauté et en ajoutant l'authentification à deux facteurs comme l'une des activités, offrant un rabais de temps limité sur le marché Steam pour les utilisateurs de l'authentification à deux facteurs, etc.
Pour résumer, une autre raison pour laquelle Steam insiste sur la sécurité est de libérer les ingénieurs logiciels pour qu'ils effectuent un travail plus engageant.
Mise à jour 10/12/15: Comme Valve vient de l'expliquer :
Le vol de compte existe depuis le début de Steam, mais avec l'introduction de Steam Trading, le problème a été multiplié par vingt en tant que plainte numéro un de nos utilisateurs ...
Nous voyons environ 77 000 comptes piratés et pillés chaque mois. Ce ne sont pas des utilisateurs nouveaux ou naïfs; ce sont des joueurs CS: GO professionnels, des contributeurs reddit, des traders d'objets, etc.
La restauration de 77 000 comptes par mois représente une tonne de temps que les ingénieurs pourraient consacrer à d'autres choses.
À ce stade, certaines personnes ont des milliers de dollars de jeux sur leur compte. Certes, les comptes Steam ne sont pas exactement liquides, et vous ne pouvez pas facilement les convertir en espèces (bien que je suppose que vous pourriez les racheter), mais la perte potentielle est toujours là.
En plus de cela, de nombreuses personnes ont des comptes de jeu liés à leur compte Steam, de sorte que si vous contrôlez un compte, vous pouvez également contrôler leur compte en jeu. De là, vous pouvez siphonner de nombreux objets en jeu, tels que des armes et des chapeaux TF2, qui peuvent ensuite être vendus sur le marché pour de l'argent réel, ou de l'argent dans le jeu qui peut à son tour être converti en argent réel via un marché gris. .
Bien sûr, certaines personnes ont également de l'argent réel sur leur compte, avec des fonctionnalités telles que Steam Wallet. Sans parler des informations de carte de crédit qui peuvent être glanées.
Le problème vient du fait que les gens adorent se plaindre que leur compte a été piraté, surtout s'ils ont été interdits de tricherie ("un pirate/mon frère/le chien l'a fait!"). Il y a bien sûr de nombreux hackers qui essaient également de reprendre des comptes Steam. Je pense que c'est la vraie raison de la sécurité stricte, car, disons, un compte Amazon est également "dangereux" mais n'a pas autant de sécurité pour le protéger.
De plus, lorsque vous contrastez (comme vous l'avez fait) avec les banques, gardez à l'esprit deux points importants:
- Steam ne se soucie pas autant de traiter les problèmes des clients - ils n'offriront même pas de politique de retour à moins d'y être contraint par la loi. Les banques ont tendance à avoir des politiques de service client beaucoup plus utiles.
- Les banques sont protégées par de nombreuses lois et réglementations bien établies. Votre compte bancaire est assuré par le gouvernement. De nombreuses informations, telles que le SSN, l'adresse et l'employeur, sont requises par une banque, il est donc beaucoup plus facile pour elle de vérifier votre identité et de résoudre les litiges (crimes et tentatives de fraude). Pendant ce temps, Steam ne bénéficie pas de ce type de protection du gouvernement, ni de ressources disponibles pour enquêter sur des crimes. Si votre compte bancaire était volé, le FBI serait facilement partout, le criminel serait attrapé et serait emprisonné pendant de nombreuses décennies. Si votre compte Steam a été volé, la police pourrait-elle même produire un suspect que vous pourriez poursuivre en justice?
Comme d'autres réponses l'ont mentionné, de nombreuses raisons expliquent les mesures de sécurité de Valve: la fraude, votre compte peut contenir des centaines ou des milliers de dollars de jeux et d'objets échangeables, les informations de paiement sont liées au compte, et vous pouvez essentiellement utiliser ce compte pour acheter des jeux à quelqu'un d'autre et les articles échangeables.
Mais une autre raison que tout le monde a négligée est que votre compte Steam vous connecte à plus de jeux que Steam. Les développeurs de jeux peuvent utiliser les API de compte Steam pour les utiliser comme système d'autorisation. Un peu comme la façon dont vous ouvrez CS: GO et vous êtes déjà connecté tant que Steam est connecté. Si vous avez une clé qui ouvre de nombreux verrous, vous devez être sûr que cette clé est difficile à obtenir et à utiliser par toute personne non autorisée à utiliser il.
Et en tant qu'utilisateur de Steam depuis 11 ans, je me souviens des premiers jours où la sécurisation de votre compte était un cauchemar. Avant les protections supplémentaires, j'ai dû récupérer mon compte presque une fois par an. Quelques amis environ tous les mois. Les comptes Steam sont une cible à fort trafic. En fin de compte, cela n'affecte tout simplement pas les utilisateurs de Steam, mais aussi Valve. J'imagine qu'ils ont perdu beaucoup d'argent simplement en corrigeant et en encourant les coûts dus à ces problèmes.
Donc, dans l'ensemble, je ne pense pas que leurs pratiques de sécurité soient le résultat d'une seule raison.
Vous avez une définition de la sécurité différente de la mienne,
Steam n'est même pas sécurisé à distance. Chaque application installée obtient un accès complet à l'ensemble de votre système. Vous n'avez aucune idée qu'un jeu installe un kit racine ou un enregistreur de frappe. Vous n'avez aucune idée des données qu'ils lisent sur votre système et les téléchargent sur leurs serveurs. À votre connaissance, lorsque vous avez installé le jeu ABC, il a téléchargé l'intégralité du contenu de votre dossier utilisateur et de votre dossier de téléchargement, a volé votre mot de passe Steam, puis s'est connecté et a vendu vos informations de carte de crédit.
Si Steam était vraiment sérieux en matière de sécurité, il implémenterait un sandbox similaire à Chrome ou Windows App Store ou Mac App Store ou Android ou iOS de telle sorte que les jeux qu'ils distribuent ne peuvent pas accéder à votre système.
La sécurité que vous mentionnez ne concerne que la connexion à Steam elle-même par des personnes ne faisant pas partie de votre système. Ce qui, bien que toutes leurs mesures semblent rendre les choses plus sûres, le fait que tout jeu installé sur Steam puisse voler ces informations le rend en fait assez peu sûr, surtout maintenant qu'ils expédient tant de jeux. Apple (iOS ou Mac App Store), Microsoft (Windows App Store) n'autorise que les applications qui vivent dans leurs bacs à sable pour empêcher ce genre de choses. Android et iOS force toutes les applications à vivre dans des bacs à sable. Steam n'a pas de bac à sable
Une chose que les autres réponses ne mentionnent pas est la façon dont la fraude affecte les banques par rapport à Steam. Si un compte bancaire est fraudé, ils rendent l'argent et c'est à peu près tout. Ils pourraient perdre des clients, peut-être.
D'un autre côté, si un fournisseur (Steam) dans ce cas est victime d'une fraude trop souvent ou a trop de refacturations contre lui, les sociétés de cartes de crédit les mettront sur liste noire. Si Steam ne peut plus accepter de cartes de crédit, elles sont effectuées en tant qu'entreprise.
Je ne dis pas que c'est à 100% pourquoi, mais cela devrait être un bon indicateur de l'importance réelle de leur sécurité. J'ai eu une fuite de mon compte de messagerie principal dans ce piratage de masse de Gmail il y a quelques années. Les premiers "hackers" ont tenté de s'en prendre à mes comptes Steam et Netflix. J'ai également eu des tentatives de connexion infructueuses pour à peu près tous les autres réseaux de jeux auxquels je m'étais inscrit. S'ils n'avaient pas une telle sécurité, quelqu'un aurait pu facilement accéder à mon compte et se donner des milliers de dollars en jeux. Ma banque ne m'aurait pas prévenu car je suis un collectionneur de jeux, donc il aurait été détecté comme des dépenses habituelles plus que probable. Je suis heureux qu'ils gardent ce chiot sous clé, ayant été victime de vol d'identité sous plusieurs formes, je ne me sens plus à l'aise avec les sites qui nécessitent une authentification au deuxième facteur.
ps. À ce jour, vous pouvez toujours trouver mes informations d'identification gmail sur Internet .. elles ont été distribuées partout. C'était un appel au réveil, j'ai dû changer mon mot de passe pour de nombreux sites, c'était écœurant, mais je suis beaucoup plus prudent maintenant et j'utilise des mots de passe uniques sur presque tous les sites.