In tal caso, perché queste società non offrono la verifica lato server per i videogiochi, ma continuano piuttosto a insistere nel fidarsi del cliente?

Si tratta meno di insistere sulla fiducia il client e più che non esiste un altro modello anti-cheat praticabile. Come il DRM, e in effetti, il software anti-cheat come PB utilizza una forma di DRM, c'è poco che può essere fatto.

Il software DRM dispone di mitigazioni per impedire al client di spingere troppo, ma deve essere affidato al client per cercare di impedirgli di fare cose che le società di media non vogliono che il cliente faccia.

La tecnologia anti-cheat si basa su una metodologia simile. Le informazioni sul client vengono raccolte, inviate al server e se un client viene visto come un comportamento anomalo, attraverso qualsiasi serie di controlli viene eseguita per il software specifico, può essere bannato sul server.

Alla fine della giornata, si tratta di gestione del rischio. Sì, non fidarti del cliente è uno dei primi principi della sicurezza. Ma per mitigare i rischi che si verificano presso il cliente, c'è un'analisi costi-benefici, che è ciò che è la gestione del rischio. Il costo per consentire ai clienti di continuare a bot e imbrogliare vale la pena perdere clienti che desiderano un gioco equo e divertente? O dovrebbero essere messe in atto alcune attenuazioni? PB e altri pacchetti software non sono lì per smettere del tutto di imbrogliare, ma mirano a renderlo più costoso.

Inoltre c'è un altro modo più sottile per limitare i client a imbrogliare (wall hack, .. .), per lo più implicato solo nei giochi online ma non limitato a. Ciò si ottiene non fornendo al client tutti i dati. Ad esempio, unreal engine 3 controlla se un attore è nelle tue vicinanze di visibilità, se questo controllo è positivo, il server ti invia la posizione esatta così come il tuo avversario. Per così dire, solo il server conosce tutte le posizioni, azioni e movimenti di tutti gli attori nell'istanza di gioco.

Questo può essere letto nella documentazione di unreal engine 3 / Client Server Model nel paragrafo cheating, che si trova qui: https://udn.epicgames.com/Three/ClientServerModel.html

Quindi, con motori / codice di rete avanzati e modelli Client Server, non è necessario fidarsi al 100% del client. Il Server può decidere in anticipo ciò che il client deve sapere, LIMITANDO efficacemente le possibilità di hack. Per andare ancora oltre, il server può decidere da solo cosa DOVREBBE sapere, per non essere distratto o confuso dai client che inviano pacchetti contraffatti.

Il software anticheat lato client in sé e per sé non riguarda la sicurezza, ma riguarda l'esperienza di gioco (e del cliente).

Pertanto, le regole di sicurezza non sono altrettanto applicabili. Affidarsi al client "hit pixel 1056 by 1723" è molto diverso che fidarsi del client "può trasferire $ 1000 a Nigera", o che il client "può accedere all'email di Bob".

Tieni presente che sto specificatamente escludendo finanziaria transazioni, solo trucchi di gioco come aimbots, cheat big head, ecc.

Primo: esistono molti giochi che utilizzano la convalida lato server al 100% e non si fidano del client. Un esempio: poker online

Semplicemente non invii il valore di nessuna carta al cliente che non può conoscere. Quindi, anche se hackera il client e legge la matrice, non c'è nulla di nascosto che possa rivelare e non può fare nessuna mossa che non potrebbe fare con il client normale.

Ma molti giochi moderni sono un molto più complesso. Uno sparatutto in prima persona per esempio. Qui non è così facile decidere se e quanto è bravo vedere un altro giocatore. Potresti dire che è facile, se c'è un muro tra voi due non lo potete vedere. E per questi semplici casi i giochi moderni possono già eliminare il giocatore nemico dal tuo punto di vista, quindi non otterrai la posizione in cui si trova. Ma non appena il nemico è in un angolo buio e solo appena visibile, il gioco deve ancora inviarti la sua posizione, quindi il tuo dispositivo grafico può dipingerlo lì. Se usi un trucco, che lo dipinge con colori vivaci, puoi facilmente individuarlo e imbrogliare. Questo è difficile da prevenire, perché la logica che lo dipinge con colori scuri nell'ombra è molto complessa per i giochi con una buona grafica, quindi strappare l'immagine sul server e inviarti solo l'immagine finale renderebbe molto più difficile imbrogliare, ma anche richiederebbe un sacco di risorse sul server e avrebbe il grave problema del LAG.

RITARDO o LAG: il secondo grande problema dei giochi in streaming è il ritardo. Se muovi il mouse, puoi guardarti intorno molto velocemente in uno sparatutto in prima persona. Ma l'invio di questo comando su Internet e la ricezione del risultato da mostrare sullo schermo richiederà più tempo rispetto al rendering in locale. Se disponi di una connessione Internet veloce, puoi essere fortunato con un ping inferiore a 20 ms, ma la maggior parte delle connessioni può essere molto instabile e il ritardo può aumentare a volte. Un gioco che reagisce che lentamente giocherà orribilmente lento e quasi non sarà affatto divertente. Al contrario, molti giochi moderni applicano un sacco di tecniche come la previsione delle mosse, la distorsione temporale e altre in modo da poter ridurre il ritardo percepito degli altri giocatori facendo in modo che il gioco calcoli molta logica locale e prevedendo le mosse degli altri giocatori, quindi il gioco sembra più fluido di quanto non sia in realtà.

Hardware / barare fuori dagli schemi. E ci sono sempre un sacco di opportunità per imbrogliare che non possono essere facilmente sconfitte dal software. E il doping? (una cosa reale negli eSport) O lasciare che un robot giochi per te. O avere una webcam sulle spalle, che individua i nemici sullo schermo e ti dice dove si trovano? O anche cose come attacchi DDoS da una botnet alla tua squadra nemica per disturbare le loro comunicazioni?

Ci sono alcune possibilità per effettuare convalide supportate dal server. Il server può testare la correttezza del codice di gioco / software anti cheat come la protezione DRM (ma può ovviamente essere falsificato). Il server può anche controllare la logica del gioco, misurare i tuoi movimenti, raccogliere statistiche e dati sul tuo comportamento e confrontarli con altri giocatori e determinati limiti e provare a decidere se stai giocando in modo anomalo o se stai infrangendo qualche regola ... ma niente di questo è perfetto.

In tal caso, perché queste società non offrono la verifica lato server per i videogiochi, ma continuano piuttosto a insistere nel fidarsi del cliente?

Lo fanno!

La maggior parte dei giochi online ogni tanto controlla la coerenza.

Player32517 ha spostato 100 unità in 3 secondi, è possibile?

Tuttavia, controllare se ogni singola mossa è valida è un'enorme quantità di calcoli.

Prendi qualsiasi tiratore per esempio:

Il tuo PC da gioco medio inizia a lottare se ci sono troppe granate / nemici sullo schermo. Questo carico viene distribuito su 20 computer.

Ora immagina di dover calcolare tutto quello di nuovo su un server e controllare ogni mossa , ogni colpo di mouse, ogni innesco di fuoco per schemi di imbroglio. In tempo reale.

A causa di tutto ciò è molto più economico o addirittura possibile controllare ogni tanto se potevi davvero fare un salto così lontano, spostarlo rapidamente o tenere il mouse esattamente sui nemici testa per 3 secondi prima che tu possa persino vederlo dietro quel muro.

E se tutto ciò fallisce, hai ancora i rapporti della community con filmati.

Modifica:

Grazie Num Lock per averlo sottolineato:

Il ritardo non è causato dalla logica ma piuttosto dal rendering. Calcolare tutti i vettori per la luce e le animazioni è di gran lunga più grande che calcolare se qualcosa fosse nel raggio d'azione per essere colpito.

Ci sono due elementi da affrontare qui.

In primo luogo, il rilevamento dei cheat lato client è raramente l'unico elemento nella prevenzione dei cheat. Dato che è distribuito anche il software server per alcuni giochi, il software di rilevamento cheat lato server potrebbe non essere completamente distribuito con esso per evitare di esporlo a reverse engineering. Non puoi dedurre una mancanza di rilevamento dei cheat lato server dal codice del server che potresti essere in esecuzione rispetto al codice del server che potrebbero essere eseguiti internamente. Inoltre, le aziende potrebbero essere riluttanti a discutere le loro soluzioni anti-cheat per ragioni simili: l'oscurità non è una brutta cosa da avere in cima a una soluzione robusta.

Tuttavia c'è anche la necessità di imbrogliare dal lato client rilevamento dovuto al fatto che i giochi si basano sull'abilità del giocatore. Ciò significa che la frode può avvenire a molti livelli: hardware, input e software. Il software è semplicemente il più comodo e preciso, si può fare ben poco per proteggersi da un robot esperto. Per proteggerti dalle truffe basate sul software, devi avere una sorta di monitor residente sul client per avere la possibilità di rilevarlo.

Inoltre, una simulazione di gioco è complessa. Come hai giustamente affermato, poco impedisce a qualcuno di costruire un client simulato che copi correttamente tutti i protocolli che il gioco utilizza e possa generare arbitrariamente input al momento giusto per imbrogliare. Solo che farlo è un'impresa enorme; è molto più facile tentare di rompere il client esistente. Lo stesso vale per la creazione di un falso client anti-cheat. In quanto tale, la sicurezza lato client è più un caso per rendere le cose il più difficili possibile piuttosto che essere infallibili al 100%. Valve in particolare aggiorna regolarmente VAC per competere in una battaglia continua con gli sviluppatori di cheat.

La maggior parte delle altre risposte si concentra sugli aspetti tecnici della prevenzione dei cheat, vorrei aggiungere che VAC previene i cheat rendendoli economicamente non redditizi:

TL; DR: lato client La protezione dai cheat funziona perché lo sforzo e l'abilità necessari per ingannarlo sono elevati e la punizione per gli errori è severa.

L'hacking richiede molti tentativi ed errori e anche se hai pieno accesso alla fonte, è necessaria una notevole quantità di lavoro per scoprire come modificare un cliente facendolo fingere che non lo fosse. E tutto questo lavoro viene messo in discussione ogni volta che il client viene aggiornato.

D'altra parte, se commetti anche il minimo errore rischi di essere bandito per sempre da tutti i server VAC.

Inoltre, non ha senso distribuire il tuo hack, poiché Valve sa anche come cercare su Google i cheat e una volta trovato il tuo hack aggiungerà una logica di rilevamento in più per trovare tutti coloro che lo usano. Questo scoraggia ancora una volta gli utenti dall'usare strumenti cheat disponibili pubblicamente.

La sfida con una sicurezza come questa è che devi fare il calcolo dove si trovano le informazioni. È necessario eseguire i calcoli anti-cheat lato client o spostare il lato server delle informazioni in modo che i calcoli possano essere eseguiti lì. Per molti giochi, passare tutte le informazioni al server può essere esorbitante. Per fare ciò, il cliente dovrebbe salvare tutte le interazioni dell'utente e l'ora in cui si sono verificate. Inviare tutte queste informazioni al server per eseguire l'analisi è troppo, quindi il calcolo viene inviato al client.

Questo non vuol dire che sia la fine. Molti giochi implementano sia test lato client e lato server. Alcuni test possono essere effettuati sulla base di informazioni già inviate al server. Potrebbe non essere in grado di rilevare tutti gli attacchi di velocità mentre qualcuno zig e zag, ma potrebbe catturare qualcuno che riesce a spostarsi dal punto A al punto B molto più velocemente di quanto consentano le regole del gioco.

C'è anche un intrigante opzione: impegni. Un client potrebbe offrire un impegno crittografico che descrive tutte le interazioni dell'utente, come un hash SHA-1. Su un comando dal server, potrebbero essere obbligati a fornire i dati che hanno generato quell'hash. Questo modello viene utilizzato in alcuni giochi distribuiti che non hanno server per mantenere i giocatori onesti. I clienti sono obbligati a impegnarsi per le azioni che hanno compiuto in passato prima che altri clienti inviino i dati correnti. Ciò impedisce a un client di riscrivere la propria cronologia.

Valve esegue la VALIDAZIONE lato server per tutto.

Tutto l'input del client è perfettamente VALIDO.

Valve esegue già il controllo dei dati utente validi. Ad esempio, il client non può dire al server: "Ho sparato a Sparkles dallo spawn CT, quando era nello spawn T".

Controlla anche che quando acquisti qualcosa, non lo sei Non sto cercando di comprare quella pistola a credito. Se il server non lo facesse, l'imbroglione acquisterà AWP su colpi di pistola.

Barare è VALIDO

Il problema è che barare (su CSGO per esempio) azione perfettamente valida (i cheat che eseguono azioni non valide, come il glitch di Spawn Teleport, possono essere risolti facilmente). Il problema è che gli imbroglioni usano una varietà di metodi per inserire un input valido che è migliorato o fatto da un computer.

In effetti, il VAC sta cercando di applicare il test di Turing su un giocatore. Anche un server non può verificare l'identità dell'agente che prende le decisioni.

I controlli lato server servono per assicurarsi che le operazioni richieste dal client siano legali. Fondamentalmente in modo da non provare a eseguire il doppio della velocità consentita.

I controlli lato client servono a verificare che la decisione di apportare tale modifica sia presa da un essere umano, non dal computer - ad es aimbot che rendono i comandi client legali (e quindi non rilevabili dal server) ma non sono ancora consentiti.

Inoltre, lato server puoi eseguire la post-elaborazione di grandi set di dati per cercare di determinare se il giocatore è un inganno, ma è qualcosa che dovresti considerare dopo il fatto ed è sempre una scienza imperfetta.