Kann man Discord trauen?

Erdie · Posted: Mon Dec 18, 2023 11:43 am Post subject: Kann man Discord trauen?

Moin moin,

ich stelle diese Frage hier weil ich in den Kompetenz der Gentoo Community mit Abstand das meiste Vertrauen habe.

Mir ist es mal passiert, dass ich Discord testweise installiert hatte und kurz nach dem Start kam dann die Meldung, so ungefähr:

Max Steel · Posted: Mon Dec 18, 2023 11:52 am Post subject:

Wait... What?
Das ist neu.

Ich persönlich speichere grundsätzlich keine Passwörter im Browser. Aber thunderbird hat die Passwörter für meine E-Mails, also etwas beängstigend.

Zum Login in Discord verwende ich gerne die QR-Code Variante vom Smartphone.

Hattest du die Discord App verwendet oder im Browser versucht?
Ich vermute aber dass Discord, da es ja auch "nur" eine dieser Chromium-Apps ist entsprechend nur in Chromium-Passwortspeicher suchen kann...
Hoffe ich zumindest.
_________________
mfg
Steel
___________________

Heim-PC: AMD Ryzen 5950X, 64GB RAM, GTX 1080
Laptop: Intel Core i5-4300U, 16GB RAM, Intel Graphic
Arbeit-PC: Intel i5-1145G7, 16GB RAM, Intel Iris Xe Graphic (leider WSL2)

Erdie · Posted: Mon Dec 18, 2023 11:57 am Post subject:

Das war die App Variante, die hatte ich dann auch sofort wieder gelöscht. Allerdings passiert das auch nur genau 1-mal. Ich habe jetzt nach geschätzt 1,5 Jahren die App wieder installiert und so etwas kam nicht wieder hoch.
_________________
Desktop AMD Ryzen 9 5900X 32GB RAM, Asus GF GTX 1060.
Notebook Tuxedo Pulse 15 Gen1 AMD Ryzen 7 4800H mit Radeon Vega 7
Raspberry Pi 1 + 2 + 3B+ + Zero W

schmidicom · Veteran Joined: 09 Mar 2006 Posts: 1973 Location: Schweiz

Ich wusste zwar das der Passwortspeicher des Webbrowser (so weit ich weis bei allen) von anderen Programmen relativ einfach ausgelesen werden kann und ich hatte Discord auch nie ein besonderes Vertrauen zugestanden aber...
WTF?!
So etwas hätte ich von einer Schadsoftware erwartet, offensichtlich muss diese "Anwendung" neu kategorisiert werden.

Was bin ich froh das meine Passwörter in einem Passwortmanager liegen dessen Inhalt ICH erst persönlich entsperren muss bevor es verwendet werden kann.

sMueggli · Guru Joined: 03 Sep 2022 Posts: 503

Vor ein paar Monaten habe ich darüber nachgedacht, mich bei Discord anzumelden. Allerdings ist es daran gescheitert, dass Discord ums Verrecken eine Telefonnummer "brauchte". Aus Security-Sicht kann ich es ein bisschen nachvollziehen, aber auch nicht wirklich.
Eigentlich wollte ich Discord nur als App auf dem Computer nutzen, um ab und zu mal zu chatten. Lustigerweise kann ich das angelegte Konto auch nicht deaktivieren/löschen, solange ich keine Telefonnummer angebe. Gut, von mir aus darf sich Discord der Hoffnung hingeben, dass ich eines Tages meine Telefonnummer doch noch herausrücken werde.

Zum eigentlichen Problem:
Vermutlich ist die Discord-App nur ein getarnter Webbrowser. Beim Start wird die App wohl geschaut haben, ob es bereits einen Access-Token gibt (und vermutlich nur bei deinem Standardbrowser). Diese Suche kann aus mehreren Gründen nicht erfolgreich sein und du wirst dann freundlich gebeten, dich auch bei der App zu authentisieren.

Auch wenn ich persönlich nichts mit Discord anfangen kann und auch nicht unbedingt den Eindruck habe, dass Discord eine "erhaltenswerte" Firma ist, glaube ich dennoch, dass Discord kein Interesse daran hat, liederlich mit deinen Personendaten umzugehen.

Es wäre natürlich schön, wenn man beim App-Start eine Erlaubnis geben müsste, um nach einem Access-Token zu suchen. Allerdings würde das wohl grosse Teile der Nutzerschaft verunsichern, weswegen man wohl darauf verzichtet.

Erdie · Posted: Mon Dec 18, 2023 7:18 pm Post subject:

Ich wurde nach eine Telefonnummer gefragt, als ich einem Server beitreten wollte. Ich probiere gerade das Spiel Valheim aus, was ich ganz interessant finde, bin aber der Meinung, dass man es im Coop mit anderen Leuten zusammen zocken sollte und es so wesentlich mehr Spaß macht. Von daher habe ich Discord wieder ausgegraben, da die ganzen Hardcorezocker eben dort tummeln. Aber mit closed source Anwendungen habe ich einfach schon meine Probleme. Kein Mensch weiß, was das Ding so macht.
_________________
Desktop AMD Ryzen 9 5900X 32GB RAM, Asus GF GTX 1060.
Notebook Tuxedo Pulse 15 Gen1 AMD Ryzen 7 4800H mit Radeon Vega 7
Raspberry Pi 1 + 2 + 3B+ + Zero W

Erdie · Posted: Wed Dec 20, 2023 9:35 am Post subject:

Ich hatte das schon lange nicht mehr genutzt. Jetzt will das Ding mich zu einem Update zwingen, indem sich eine Fenster öffnet, das zum Download eine .dep oder .tat.gz Datei einlädt. Und man kann es nicht einfach schließen, man muß es killen wenn man gar nichts machen will.Solche Software liebe ich ja .. <Ironie off>
_________________
Desktop AMD Ryzen 9 5900X 32GB RAM, Asus GF GTX 1060.
Notebook Tuxedo Pulse 15 Gen1 AMD Ryzen 7 4800H mit Radeon Vega 7
Raspberry Pi 1 + 2 + 3B+ + Zero W

firefly · Watchman Joined: 31 Oct 2002 Posts: 5324

Max Steel · Posted: Wed Dec 20, 2023 10:47 am Post subject:

Erdie · Posted: Wed Dec 20, 2023 11:45 am Post subject:

Ja, ich war lange in eine Hörspiel Community und dort wurde sehr lange Teamspeak verwendet. Irgendwann kam dann die jüngere Fraktion und warf den Vorschlag ins Feld doch Discord zu nutzen. Dann gab es lange Diskussion und letztendlich haben sich dann die Discorder durchgesetzt. Ich war auf der Teamspeak Seite, vor allem, weil die damalige Discord Version einen Bug hatte, durch den reines Alsa nicht mehr funktionierte und die Web Version war noch nicht vorhanden/ausgereift. Ich glaube, der ALSA Support funktioniert bis heute nicht. Da ich jetzt Pipewire nutze, ist das für mich nicht mehr relevant. Im Prinzip kann Teamspeak alles, was diese Yogies brauchen aber es ist eben nicht mehr sexy. Heute müssen es Massen von animierten, tanzenden Objekten sein, sonst wird es nicht akzeptiert.
_________________
Desktop AMD Ryzen 9 5900X 32GB RAM, Asus GF GTX 1060.
Notebook Tuxedo Pulse 15 Gen1 AMD Ryzen 7 4800H mit Radeon Vega 7
Raspberry Pi 1 + 2 + 3B+ + Zero W

Erdie · Posted: Wed Dec 20, 2023 11:55 am Post subject:

Max Steel · Posted: Wed Dec 20, 2023 12:40 pm Post subject:

firefly · Watchman Joined: 31 Oct 2002 Posts: 5324

firefly · Watchman Joined: 31 Oct 2002 Posts: 5324

Alternativ wäre die flatpak version. Bei flatpak kann man auch einiges an der sandbox drehen damit eine App so gut wie nichts am system machen kann.
z.b. kann man die flatpak sandbox so einstellen, dass eine flatpak app keinen Zugriff auf das host filesystem bekommt bzw. nur auf bestimmte Verzeichnisse.
Ich hab z.b. für skype, das ich beruflich nutzen muss, alle host filesystem zugriffe gesperrt.

Für kde plasma 5 gibt es kde-plasma/flatpak-kcm um solche Einstellungen bequem via einer UI einstellen zu können.
_________________
Ein Ring, sie zu knechten, sie alle zu finden,
Ins Dunkel zu treiben und ewig zu binden
Im Lande Mordor, wo die Schatten drohn.

l3u · Posted: Wed Dec 20, 2023 1:25 pm Post subject:

Abgesehen von Discord (kannte ich gar nicht …):

Wenn man seine Passwörter sicher speichern will, dann nimmt man pass. Exakt so würde ich es machen, wenn ich es selber machen würde. Ein Bash-Script, was meine Passwörter mit PGP verschlüsselt. Eine Datei pro Passwort. Kann auch mehrere Zeilen haben, man kann darin alles, was Text ist, speichern. Man kann es auf ein Git-Repository pushen (das kann ja auch gern öffentlich zugänglich sein, es landen ja nur PGP-verschlüsselte Dateien dort). Es gibt eine Android-App auf F-Droid. Wenn's GUI sein soll, gibt es QtPass. Für Firefox gibt es ein Plugin, mit dem man es direkt nutzen kann.

Ich nehme das für alles. Handy-PIN, -PUK, etc., Geheimzahl meiner EC-Karte, 2FA-Seed für KDE Identity (es gibt mit pass-otp ein pass-Plugin, um direkt 2FA-Tokens auszulesen. Das ebuild muss man aber patchen, damit bashcomp geht. Der Maintainer des ebuilds sieht nicht ein, dass er nicht recht hat ;-) … für alles. Funktioniert perfekt.