最近國外科技媒體Engadget采訪了拳頭安全和反作弊負(fù)責(zé)人Paul Chamberlain，在采訪中Chamberlain詳細(xì)的介紹了VALORANT反作弊系統(tǒng)Vanguard的工作原理以及設(shè)計(jì)思路，同時Engadget還邀請了行業(yè)內(nèi)的安全專家分析了Vanguard存在的一些問題，文章有點(diǎn)長，但很值得一讀。以下為原文。

　　每當(dāng)你在自己的電腦上安裝新軟件時，你都是在冒險。每一次點(diǎn)擊「OK」按鈕，你都是在給軟件的開發(fā)者授權(quán)隱含的信任，你假設(shè)他們不會靜默安裝間諜軟件，收集你電腦里的數(shù)據(jù)，或者將你的瀏覽習(xí)慣高價賣給別人，你是在說“你相信這家公司?！?/p>

　　隨著Valorant的發(fā)布，這款射擊游戲始終在線的反作弊系統(tǒng)Vanguard出現(xiàn)了，但隨之而來的問題也很明顯：你信任拳頭嗎?

　　“這很容易回答，這是個全新的東西，我為什么要相信它？但很難得到滿意的答案，因?yàn)樽罱K你應(yīng)該完全信任我們，因?yàn)槲覀冋槟阕稣_的事?！?/p>

　　這是Paul Chamberlain，Valorant的安全和反作弊負(fù)責(zé)人。在他們的團(tuán)隊(duì)宣布對Vanguard增加可退出選項(xiàng)更新后兩天，我與他以及拳頭首席信息安全官Chris Hymes進(jìn)行了交談。這些變化是對拳頭新推出的內(nèi)核級反作弊系統(tǒng)的持續(xù)質(zhì)疑做出的回應(yīng)，其目的是讓玩家獲得更多選擇權(quán)。就在Valorant和Vanguard進(jìn)行內(nèi)測的三周后，Reddit上就充斥著關(guān)于Vanguard無所不能的批評和陰謀論。

　　Chamberlain說：”我們唯一能保證的是，我們非常關(guān)心這個問題，我們在安全審查、透明度等方面做了很多努力。”“但最終我們只是說，好吧，如果你對此感到不舒服，那么我們可能會覺得，你不是那么想玩游戲”

　　拳頭并不是唯一一家在用戶電腦上安裝內(nèi)核級反作弊軟件的公司，其他流行的反作弊系統(tǒng)，如DayZ的BattlEye和堡壘之夜的Easy Anti-Cheat也使用內(nèi)核驅(qū)動，但它們只在游戲激活時運(yùn)行。另外，像FACEIT和ESEA這樣的服務(wù)都有“永遠(yuǎn)在線”的驅(qū)動程序，盡管經(jīng)過多年的使用和更新，它們對許多玩家來說沒有Vanguard那么有侵略性。

　　2013年，一名ESEA開發(fā)者利用該軟件的內(nèi)核權(quán)限，將玩家的電腦變成了一個秘密的、大規(guī)模的比特幣礦廠。在被抓之前，這名開發(fā)者從毫不知情的玩家的GPU中獲利近4000美元。ESEA隨后道歉并將所有錢都捐給了美國癌癥協(xié)會。

　　讓我們回到信任的問題上來。

　　近年來，拳頭的聲譽(yù)面臨一些挑戰(zhàn)。首先，它是一家價值數(shù)十億美元的科技公司，而眼下反企業(yè)情緒正風(fēng)靡一時。其次，經(jīng)過多年有關(guān)性騷擾和兄弟會文化的報道之后，拳頭在2019年解決了一起性別歧視訴訟，并同意向受雇于該公司的女性員工（自2014年起）集體支付1000萬美元的巨額賠償。議員們?nèi)栽诰腿^欠下的最后一筆錢進(jìn)行談判，他們在1月份表示，這筆錢可能會達(dá)到4億美元。最后，拳頭是中國科技巨頭騰訊的全資子公司，這引發(fā)了人們對玩家數(shù)據(jù)隱私的擔(dān)憂。

　　Chris Hymes對最后一點(diǎn)有話要說。

　　“在拳頭工作的5年里，我從未遇到過母公司要求或試圖訪問我們擁有的任何數(shù)據(jù)情況，”他說。“我從根本上相信，這永遠(yuǎn)不會發(fā)生。其次，就算有人提出這個要求，我們也絕對不允許。”

　　考慮到這一切，我請Chamberlain解釋為什么Vanguard會采用這樣的運(yùn)行機(jī)制。然后，我把他的回答交給了獨(dú)立安全研究員Saleem Rashid。

　　Vanguard由兩個主要組成部分：傳統(tǒng)的掃描服務(wù)在游戲運(yùn)行時啟動，而設(shè)備驅(qū)動程序在系統(tǒng)啟動時就會加載。即使你沒有玩Valorant，驅(qū)動程序也會在你的電腦上一直處于運(yùn)行狀態(tài)。為了正確安裝Vanguard的內(nèi)核模式組件，Valorant甚至要求玩家必須在首次啟動游戲之前重新啟動計(jì)算機(jī)。

　　Chamberlain說：“驅(qū)動程序本身不會進(jìn)行任何掃描或與網(wǎng)絡(luò)進(jìn)行通訊等類似的操作。” “它可以確保從計(jì)算機(jī)啟動開始到游戲開始，系統(tǒng)都沒有受到損害或篡改。它是通過在系統(tǒng)上加載任何作弊文件之前啟動來實(shí)現(xiàn)的。然后，在計(jì)算機(jī)上加載新的驅(qū)動程序或模塊時，它將檢查它們是否存在安全漏洞。如果有，則不會讓它們加載，這很罕見?！?/p>

　　在內(nèi)核或ring 0（CPU的最高運(yùn)行級別）中運(yùn)行，意味著Vanguard可以訪問計(jì)算機(jī)硬件的每一個環(huán)節(jié)。這是PC的最高特權(quán)級別，僅保留給操作系統(tǒng)中最受信任的單位。從ring 0開始，攻擊者可以修改游戲內(nèi)存、破壞整個系統(tǒng)或訪問計(jì)算機(jī)上其他用戶的文件。而且，甚至不需要黑客就可以使驅(qū)動程序引起問題，比如Vanguard正在使某些計(jì)算機(jī)崩潰，因?yàn)樗柚沽嗽緹o害的軟件正常運(yùn)行。我們說的就像是死機(jī)前的藍(lán)屏故障一樣。

　　Chamberlain說：“另一件事是，操作系統(tǒng)的某些部分需要能夠讀寫游戲內(nèi)存?！彼鼈円矔谟?jì)算機(jī)啟動時啟動，在游戲中作弊的一種常見技術(shù)是劫持這些系統(tǒng)組件之一。由于系統(tǒng)組件一直在運(yùn)行，所以除非有一個組件一直在運(yùn)行，否則無法驗(yàn)證它們的完整性。這就是內(nèi)核驅(qū)動程序所做的大部分工作?！?/p>

　　Chamberlain把這個系統(tǒng)描述成一個安全氣泡，保護(hù)整個電腦免受作弊軟件的攻擊，但Rashid說，Vanguard在進(jìn)行ring 0攻擊時存在盲點(diǎn)。他說:“Vanguard的工作思路是他們可以使用內(nèi)核驅(qū)動程序來檢測在ring 3用戶模式下發(fā)生的一種特殊的作弊注入。”但是當(dāng)作弊開發(fā)者也將他們的作弊行為轉(zhuǎn)移到內(nèi)核中時，他們就可以以一種Vanguard無法檢測到的方式修改游戲內(nèi)存。這項(xiàng)技術(shù)已經(jīng)被用來繞過現(xiàn)有的反作弊機(jī)制?！?/p>

　　自第一周以來，開掛者就一直活躍在Valorant中，這個分析是實(shí)時進(jìn)行的。當(dāng)然，即使有了Vanguard的額外保護(hù)層，也沒有任何防作弊系統(tǒng)能夠完全做到萬無一失。

　　Rashid和其他專家認(rèn)為，Vanguard不僅對某些內(nèi)核攻擊視而不見，它還主動邀請黑客攻擊計(jì)算機(jī)的最特權(quán)層。Chamberlain同意這種擔(dān)心是有效的，但他說，大多數(shù)現(xiàn)有的作弊軟件對ring 0沒興趣。

　　Chamberlain說:“如果我在運(yùn)行一個驅(qū)動程序，而我的電腦上有病毒，病毒就可以利用驅(qū)動程序的安全漏洞，在ring 0內(nèi)核中運(yùn)行，然后在內(nèi)核中做任何事情。但這實(shí)際上是比較少見的，因?yàn)榇蠖鄶?shù)惡意軟件對訪問計(jì)算機(jī)的內(nèi)核級不感興趣，因?yàn)槟汶娔X上所有有價值的東西都可以通過用戶模式訪問。我想要保護(hù)的東西，比如我的瀏覽歷史或我的信用卡，以及我正在寫的同人小說，這些都可以在我的電腦上訪問到，根本不需要內(nèi)核驅(qū)動?！?/p>

　　操作系統(tǒng)使用安全措施來保護(hù)用戶模式應(yīng)用程序免受攻擊，但是這種安全措施不包括內(nèi)核代碼。外掛軟件開發(fā)者和黑客仍然可以利用Vanguard和其他受信任驅(qū)動程序的安全漏洞，瞄準(zhǔn)內(nèi)核并在那里安裝軟件，完全繞過安全證書的要求。

　　Chamberlain表示，他的團(tuán)隊(duì)盡可能簡單地開發(fā)Vanguard，以提高作弊軟件的開發(fā)門檻。當(dāng)然，惡意軟件總有可能通過Vanguard自己進(jìn)入ring 0。由于內(nèi)核模式攻擊不太常見，Vanguard和其他反作弊系統(tǒng)也沒有在這方面做功夫。

　　Rashid是這樣總結(jié)的：“使用內(nèi)核驅(qū)動程序?qū)⒇堊嚼鲜蟮挠螒蛟谟螒蜷_發(fā)者和外掛開發(fā)者之間從用戶模式轉(zhuǎn)移到內(nèi)核。鼓勵作弊開發(fā)者在ring 0中實(shí)現(xiàn)作弊將使拳頭在未來更難發(fā)現(xiàn)作弊行為?！?/p>

　　拳頭在封閉測試期間不斷更新Valorant和Vanguard，很多人都在玩“零問題”游戲。這款游戲在Twitch上取得了巨大的成功，部分原因是它采用了一種聰明的營銷方案，將測試版資格與觀看直播捆綁在一起。拳頭還宣布了建立電競聯(lián)盟的初步計(jì)劃。一些職業(yè)球員已經(jīng)放棄了《守望先鋒》、《反恐精英》和《堡壘之夜》等游戲，轉(zhuǎn)而選擇《Valorant》。

　　Vanguard作為一款反作弊軟件也令人印象深刻。Chamberlain尤其對他的戰(zhàn)爭迷霧系統(tǒng)感到自豪，這個系統(tǒng)可以防止作弊者使用穿墻攻擊，或者透視。這在競技射擊游戲中是一個常見的問題，并且很難解決，因?yàn)榻巧ㄎ粩?shù)據(jù)在任何游戲中都是一個必要的組成部分。

　　Chamberlain在Reddit上解釋了(當(dāng)然是含糊其辭)Vanguard如何處理這個問題:“服務(wù)器會保留敵人的位置，直到你能看到它們。所以即使你的穿墻外掛讀取了游戲客戶端的內(nèi)存，它也不會有太大的作用，因?yàn)閿橙说奈恢貌粫谀抢??！?/p>

　　CSGO使用了類似于《迷霧戰(zhàn)爭》的系統(tǒng)，但在同一個Reddit帖子中，Chamberlain表示Vanguard的這種做法更好。

　　Vanguard的問題并沒有阻止Valorant獲得成功，但它們重新點(diǎn)燃了關(guān)于視頻游戲行業(yè)的安全和信任的廣泛討論。

　　Chamberlain說：“我們認(rèn)為，對于我們試圖為之服務(wù)的玩家來說，如果要在方便或安全之間做出選擇，他們都會希望我們選擇安全?！彼晕覀儽械脑瓌t是，這個游戲不一定適合所有人。但是我們認(rèn)為最喜歡這款游戲的玩家會欣賞我們打擊作弊的努力?！?/p>

　　公平地說，沒有人對拳頭將作弊者排除在游戲之外的做法有意見——但讓一些玩家感到擔(dān)憂的是，Vanguard可能會做的所有其他事情。