IdentityLoggerでCSGOのチーターを封じ込める

• CSGOサーバー運営の世界

  • オーストラリアとニュージーランドを拠点とするCSGOコミュニティサーバー、InvexGamingを運営していた。このサーバーは、コミュニティ、コンテンツ、大会、カスタムゲームプラグインのおかげで人気を集めていた。
  • サーバー運営には、コミュニティフォーラムとサーバーインフラの維持、コスト管理、コンテンツ追加、VIPシステムの自動化、カスタムプラグインの作成、ゲームバグの修正、DDOS攻撃の防止、ルール違反プレイヤーへの対応といった作業が含まれる。
  • 最も厄介な作業は、チーターを特定してBANすることだった。

• 猫とネズミのゲーム

  • ゲームには常にチーターが存在し、サーバー管理者はさまざまな技術を使って彼らを検出できる。
  • サーバー側コード、Valve Anti-Cheat（VAC）システム、カーネル側アンチチートなどを活用できる。
  • しかし、これらの方法ではすべてのチートを自動検出できるわけではなく、最終手段としてCSGOのデモを使って手動で分析する必要がある。
  • チーターを見つけたら、サーバーから永久BANしなければならない。だが、チーターは再びチートを試み、技術に長けたプレイヤーはBANを回避できる。

• BAN回避の技術

  • BAN回避は、IPアドレスやSteam IDのような識別情報を変更することで行われる。
  • 新しいSteam IDやIPアドレスを使えばBANを回避できるが、システムはこうした変更を検知し、新しい識別情報を既存のBANと関連付ける。
  • VPNを使ってIPアドレスを変更することはできるが、Steam IDがBANされている場合は再びBANされる。
  • 2つの識別情報を同時に変更すると、新規プレイヤーとして認識され、BANを回避できる。

• IPアドレス指紋認識の問題点

  • Steam IDはプレイヤーを一意に識別するが、IPアドレスはそうではない。
  • 兄弟での共有回線や大学のネットワークのような共有ネットワークでは問題が発生しうる。
  • こうしたケースのために例外システムを構築したが、信頼できないネットワークではプレイしないことを推奨していた。

• IdentityLogger

  • チーターはゲーム内で常に問題を引き起こしており、2017年初頭にはBAN回避の問題が深刻化していた。
  • Steam IDとIPアドレスを同時に変更する問題を解決するため、VGUIブラウザを利用してCookieを保存する方法を考案した。
  • このCookieはゲームを終了して再起動しても保持され、チーターが簡単には削除できないSteamのインストールディレクトリに保存された。
  • これにより、Tracking IDという追加の識別子を生成し、プレイヤーを識別できるようになった。

• 2017年の大規模BANウェーブ

  • 2017年2月、このシステムをすべてのInvex Gaming CSGOサーバーに導入し、多くのチーターをBANした。
  • コミュニティは「チートしにくい」サーバーとして評判を得て、チーター関連の報告は大幅に減少した。
  • この方法は、ValveがVGUIブラウザを削除するまで効果的に機能し、その後は技術を公開し、プラグインをオープンソースとして提供した。

GN⁺のまとめ

• この記事は、CSGOサーバー運営においてチーターを特定しBANする方法に関する興味深い事例を扱っている。
• VGUIブラウザを活用したCookieベースの識別方法は創造的かつ効果的で、コミュニティのチーター問題を大きく減らした。
• この方法はValveのアップデートによりもはや使えないが、ゲームセキュリティに対する新しいアプローチを提示している。
• 類似機能を持つプロジェクトとしては、VACシステムやその他のアンチチートソフトウェアがある。

[GN⁺]

Hacker Newsのコメント

• UT2004では、プレイヤーをBANする方法としてGUIDまたはIPを使用していた。だがEpicがゲームを見捨てたことでキー生成器が登場し、GUID BANは無意味になった。IP BANにもVPNの利用による限界がある
  • 現在可能な解決策は、IP BANとVPN BANを組み合わせて既知のVPNサブネットをファイアウォールに追加することと、特定のシステムフォルダ構造をスキャンするフィンガープリンティング手法を使うことだ
• RFC5737 TEST-NET-2アドレスを使ったことについて、著者を称賛したい
• 大きな国のプレイヤーは、小さな国にあるコミュニティ感覚をしばしば見落とす。少ない数のサーバーで毎日遊ぶ人たちを知るようになると、会話や楽しさが増す
• サーバー側だけで動作するアンチチートシステムは、キャリアの中で一度はぜひ取り組んでみたい問題領域だ。こうした対決構図は、深く考えるほど面白い
• Webサイトが落ちていたり遅かったりするときに記事を読みたいなら、ページ全体のスクリーンショットを提供している
• 話題はチート検知ではなく、繰り返し現れるチーターを防ぐことだ。チート検知は、特にハードウェアチートに関しては、まったく別の問題である
  • 個人的には、最も効果的な方法はゲームを有料にすることだと思う
• HTTPSで暗号化されたトラフィックでは、Wiresharkのようなツールで生のトークンを見つけることはできない。だが、FiddlerやBurp SuiteのようなツールならHTTPSを簡単に復号できる
• 信頼できるサーバー運営者とのみ、ソリューションと技術を共有していた。VGUIの利用は効果的だったが、2018年ごろにWebブラウザが削除されてしまったのは残念だった
• このソリューションの創造性と効果は評価する。だが、VGUIは最初から存在しないほうがよかった
  • Webではこの種の追跡があまりにも蔓延していて、回避するのはほとんど不可能だ。論理的な欠陥を利用してより良い結果を得るという点が魅力的だ
• BANされたIPから新しいSteam IDをBANするのは厳しすぎる。一部のISPはCG-NATを使っていたりIPをローテーションしたりするため、1人の悪意ある利用者が多くの無実のプレイヤーに被害を与えかねない