20.04.2024, 07:16
Архив записей
И безопасность только снится нам… | 12:40 |
Если Вы не используете своего игрового персонажа только для «боевки», что на данный момент встречается чаще всего, но и следите за новостями проекта, читаете на многочисленных форумах и сайтах, об изменениях, дополнениях и происшествиях, то Вы просто не могли не заметить воскресного казуса, всколыхнувшего мирок Дозоров.
Суть происшедшего в очередной раз затронула одну из «слабых» сторон проекта, а именно безопасность, которой, похоже, уже никогда не будет уделено должного внимания. Немного полистав старые записи форумов, можно восстановить наиболее значимые события, связанные с безопасностью и «взломами»:
– эпизод с так называемым Scorpions’ом, зарегистрированным в игре аж в 2005 году, но проявившим себя только в апреле 2009-го. Причем проявил себя он путем подбора паролей администраторов игры и к «контролке», ввиду чего было введено большое количество игровых денег и модификаторов, подорвавших и без этого нестабильную экономику игры.
– доступ к админ-панелям группой злоумышленников (Брат, Неоновый снег, Rodriguez и Astela), полученный не без помощи одного из бывших администраторов и опять в том же самом многострадальном апреле 2009-го. Все та же схема: выброс в игру большого количества игровой валюты и модификаторов, но эта акция, по заверению администрации, своей целью ставила обогащение конкретных личностей. Несмотря последовавшее на объявление руководства «…на данный момент последствия данной акции локализованы», по словам одного из злоумышленников на конец марта 2010-го эти самые последствия не «локализованы» даже наполовину, так как множество «рисованных» денег и модификаторов отследить на уже не предоставляется возможным.
Последние события по традиции относятся к апрелю. Правда, уже сего года. В самом начале апреля, 4-го числа, злоумышленник, подобравший пароли доступа к нескольким персонажам-главам темных организаций, «оторвался» по полной. Объявил несколько войн и распустил почти всех сотрудников, удалил организацию, направо и налево раздавал «молчанки» в игровом чате игры и, соответствуя уже ставшему для каждого «взломщика» закону, затеял флуд и споры с администрацией на игровом форуме.
Таким образом, в какой уже раз руководство проекта столкнулось с проблемой своей собственной безопасности и безопасности своих пользователей. Реакция ее как всегда была более чем сухая и ограничилась обычными «предупреждениями о безопасности Вашего персонажа» которые постоянно транслировались в чате игры и незначительными постами на форуме игры. Для лучшего разъяснения ситуации мы решили обратиться к специалисту, понимающему в этом гораздо больше автора статьи. Он и пролил Свет на проблемы и показал несколько путей решения сложившейся неприятной ситуации:
« - Если Вы работаете web-программистом, и у Вас имеется опыт в создании сайтов и Интернет-приложений, то, думаю, не раз сталкивались с проблемой проверки паролей при регистрации пользователей. Скорее всего, в Вашем арсенале найдется не одно решение подобной проблемы. Но, допустим, что все это в первый раз и перед нами стоит задача создать программу/сервис/функцию которая проверит «букавки», которые вводит наш дорогой пользователь, на адекватность, и, что наиболее необходимо нам, на сложность.
Если данная функция потребовалась для оптимизации сайта, разработанного на ucoz, то тогда нам крупно повезло. Достаточно войти в наш любимый google и набрать там такую строчку «проверка сложности пароля ucoz». Пройдя уже по первым ссылкам (например сюда), мы получаем код и подробные инструкции, как и куда его вставить на наш сайт, чтоб он стал лучше. В итоге временные затраты сводятся к минутам 15-20, а о денежных можно даже и не говорить.
Если Вам нужно решить данную проблему для форума, написанного на phpbb3, то опять же – ничего сверхсложного. Нужно аккуратно зайти в панель администрирования на вкладку «общие настройки» и в меню выбрать «безопасность», где система предложит выбрать один из 4х вариантов: «без требований» — отключит проверку сложности пароля; «должен быть со смешанным регистром» — пользователи должны будут использовать в своих паролях прописные и маленькие буквы одновременно; «должен содержать буквы и цифры — помимо всего вышеперечисленного, в пароль должны быть как буквы, так и цифры»; «должен содержать символы — в паролях, кроме букв и цифр должны быть ещё и другие символы. В принципе, очень неплохо и нам этого будет вполне достаточно. Итого, временных затрат – минут 5-10, денежных – снова ноль, так как данная функция входит как «базовая» в состав phpbb3.
Но вдруг, мы не используем какую-либо известную CMS (систему управления контентом)? У нас, допустим, своя система, например – он-лайн игра. Как быть в этом случае? Во-первых, надо понять цепочку действий. Когда пользователь вводит свои данные в поля формы регистрации, то, прежде чем отправить всю эту информацию на сервер, мы можем вставить промежуточную функцию, которая будет проверять данные. Причем, если учесть, что у нас уже есть более сложные проверки на «Запрещенные Ники» или на «Совпадение с уже зарегистрированными», то вставить еще одну небольшую проверку «На валидность пароля» не сложно. Вся проверка сводиться к одному регулярному выражению (хотя возможны и более сложные реализации), которое как раз и будет проверять – подходит ли наш пароль к требованиям. Если он им не удовлетворяет, то система просит ввести другой. Пример таких выражений и функций в Интернете очень много, так же можно все это красиво представить с индикаторами и разными цветами, было бы только желание и время. Так что временные затраты могут быть разные, но в пределах пары дней.
Итак, мы убедились, что проверка пароля на сложность очень проста и не требует найма специалиста. Тогда встает вопрос: почему это до сих пор это не реализовано в нашей любимой игре? (И не надо сейчас возмущаться, что все у нас есть, отсылая к этой теме). Ради проверки я сейчас зашел на главную страницу и прошел регистрацию, перед этим просмотрев начальный квест. Хочу отметить, что введенный мной пароль состоял из обычного слова из 5 букв. Какой смысл изначально разрешать пользователям вводить пароли, совпадающие с логином, чтобы потом сообщать, что пароль не подходит под эти самые требования?
Пока мы разбирались с проблемой создания паролей, в голову пришла мысль о проблеме защиты паролей, а точнее их шифрования. Интересно, если нет адекватной системы с их проверкой, неужто тогда есть система по их шифрованию, которая в разы сложнее и требует уже определенной подготовки человека в области web-программирования и шифрования данных? Таким образом, смею предположить, если этот человек получит доступ к БД (базе данных), у него не будет никаких проблем с паролями и входами за любого игрока. Нужно отметить, что для повышения безопасности в данном случае можно было бы написать функцию, которая заставила бы пользователей через определенное время менять пароли (пример такой возможности нам может встретиться на phpbb3).
Подводя итог, нужно сказать, что есть цепочка проблем с безопасностью: если нет проверки адекватности паролей, нет их шифрования – нет и безопасности хранения данных. Если нет безопасности хранения данных – то при регистрации нельзя запрашивать конфиденциальную информацию, а без нее не проведешь аутентификацию пользователей. Тем самым будет сложно доказать случаи передачи персонажей, игру разными людьми, да и просто кражу. Как можно доказать, что это действительно взращенный тобой маг, зверь или вампир, если все, что ты можешь назвать (ник, логин, контрольный вопрос) известно любому игроку?»
Думаю, комментарии излишни. В то время, пока одни зарабатывают на безопасности баснословные деньги (тому примером может являться основатель и руководитель компании Oracle Ларри Эллисон, которому удалось заработать 84,5 миллиона долларов только за 2009 год, по версии журнала Forbes), мы довольствуемся псевдобезопасностью, которая постоянно «сажает нас в одну и ту же лужу».
Отдельное спасибо за справку и пояснения независимому специалисту и игроку
 Anaza  ,пр1 | |
| Просмотров: 1085 | Добавил: SirAnT | Рейтинг: 4.8/6 | | |
| Всего комментариев: 19 | 1 2 » | ||||||||||||
| |||||||||||||
| 1-10 11-14 | |||||||||||||
