Ataques de crash en RedM: lo que un anticheat RedM tiene que hacer antes del crash, no después

Una tarde de martes en Blackwater, 55 jugadores conectados. En poco más de dos segundos, ocho de ellos se caen del servidor, todos con el mismo mensaje: Game crashed. Nadie disparó un tiro, y todos estaban a unos cuarenta metros del mismo punto. Es un ataque de crash, la trampa que no intenta ganar un combate sino acabar con la sesión de todos los demás. Es también la prueba más clara de para qué sirve un anticheat RedM: un crash no se puede castigar a posteriori, porque el daño ya está hecho.

#Qué es realmente un ataque de crash

RedM, igual que FiveM, deja que cada cliente cree objetos en el mundo compartido: cajas, props, decorado, el mobiliario de cualquier script de rol. El servidor sobre todo los retransmite a todos los que están cerca. Un ataque de crash abusa de esa retransmisión. El tramposo genera objetos que el motor del juego no sabe manejar con seguridad y los coloca junto a la gente que quiere echar. Todos los clientes que los cargan se cuelgan.

El patrón que vemos en RedM es muy regular. Un pequeño lote de objetos idénticos aparece en un anillo cerrado alrededor de una víctima, unos metros por encima, todos en el mismo instante. En cuestión de segundos, todos los que están en rango se caen, casi todos con la misma firma en el ejecutable del juego. El tramposo puede estar lejos: lo que importa es dónde están los objetos, no dónde está él.

#Por qué la mayoría de los anticheat RedM solo lo ven después

Un anticheat RedM clásico vigila a los jugadores: su posición, su vida, sus disparos, los recursos que arrancan. Un ataque de crash no muestra nada de eso. El tramposo no se teletransporta, no recibe daño, no apunta a nadie. Del lado del servidor, lo que ocurre es la creación de un objeto, el evento más corriente que existe: un servidor de rol con mucha actividad ve cientos por minuto.

Así que la respuesta típica es forense. Los jugadores avisan del crash, el staff mira la consola de txAdmin, ve una columna de líneas «Game crashed» y empieza a adivinar quién estaba cerca. Es lento, acusa a quien casualmente estaba ahí, y no hace nada contra la siguiente oleada, que llega diez minutos después.

Un anticheat RedM que solo reporta un ataque de crash no sirve de nada contra él. La única defensa que cuenta es la que retira los objetos antes de que los clientes los rendericen, y esa ventana dura un par de segundos.

#Cómo lo frena el servidor primero

El servidor ve cada objeto de red en el momento en que se crea, antes de que los clientes cercanos terminen de cargarlo. Esa es la ventana. Nuestro anticheat RedM la aprovecha en tres capas.

1. Los modelos de crash conocidos se rechazan de plano

Algunos modelos son sencillamente peligrosos. Cada oleada de crashes que registra el servidor se analiza, y los modelos implicados se añaden a una lista compartida. Un modelo que el juego ni siquiera consigue resolver se aprende automáticamente. Un modelo válido que aparece una y otra vez segundos antes de los crashes se añade tras correlacionarlo: el que se usó el 13 de octubre se creó justo antes de 22 de las 79 oleadas de crashes que ese servidor sufrió en dos semanas. Cuando un modelo está en la lista, el servidor cancela su creación y borra cualquier copia que ya esté en el mundo. La lista es compartida: un modelo aprendido en un servidor protege a todos los servidores que usan el mismo anticheat RedM.

2. El anillo se reconoce por su forma

Lo que el ataque no puede ocultar es su geometría: una ráfaga de objetos, de un mismo creador, que se cierra alrededor de un jugador. El servidor vigila esa forma en cada objeto que ve crearse.

Un anillo por sí solo no es una prueba, como muestra la sección siguiente. Lo que el servidor hace con él depende de qué son los objetos y de dónde está su creador. Un anillo con un modelo de crash conocido se borra por completo, para todos los clientes, esté donde esté su creador. Esa misma noche, tras la oleada de arriba, el mismo atacante colocó nueve anillos más entre las 20:57 y las 21:24. Los nueve se borraron por completo. Ningún crash siguió a ninguno de ellos en los diez segundos posteriores.

3. El creador se sanciona, con cuidado

Borrar los objetos protege a los jugadores. Retirar al atacante protege la noche siguiente. El dueño de un servidor puede hacer que un creador pillado colocando un modelo de crash conocido sea expulsado automáticamente, y baneado si reincide. Cuando el staff lo banea como tramposo, sus cuentas vinculadas y las direcciones desde las que se conectó también se marcan, para que la segunda cuenta que cree no tenga vía libre.

#Lo difícil: no acusar al jugador equivocado

La defensa contra crashes es donde un anticheat RedM puede hacer más daño a los jugadores honestos, por dos razones que aprendimos a las malas.

Los scripts legítimos también construyen anillos. Los servidores de rol generan decorado en ráfagas: un campamento, un puesto de mercado, un conjunto de cajas que aparecen alrededor de quien entra. En el mismo servidor, un script en Blackwater hacía que el cliente de un jugador situado a unos 45 m creara diez objetos alrededor de quien estuviera cerca, una y otra vez, con un «creador» inocente distinto cada vez. Por número y por distancia, parecía exactamente un ataque. En dos días, el servidor registró 24 anillos. Solo 9 llevaban un modelo vinculado a crashes, y esos 9 eran los ataques. Los otros 15, hasta donde pudimos rastrearlos, eran decorado. La distancia no separa los dos casos; el modelo sí. Un anillo sin modelo de crash conocido solo se actúa cuando su creador está justo encima de la víctima. En cualquier otro caso se registra para análisis y se deja en paz: ni borrado, ni alerta, nadie acusado.

El «creador» no siempre es el autor. En RedM, el servidor atribuye un objeto al cliente que lo posee en ese momento en la red, y la propiedad se mueve: cuando un jugador se va o se aleja, sus objetos pueden migrar a alguien cercano. Vimos cómo los objetos de crash de un atacante reaparecían bajo un jugador inocente cinco segundos después, con los mismos ids de red. Nuestro anticheat RedM ahora conserva el creador original cuando un objeto vuelve bajo otro propietario con la misma identidad, y nunca se lo cuenta al nuevo.

#Lo que esta defensa no puede hacer

La primerísima oleada de un modelo nuevo puede pasar. Si el modelo es desconocido y nada más del anillo es concluyente, el servidor lo registra en vez de arriesgarse a borrar el decorado de un script legítimo. Esa oleada queda registrada con quién estaba dónde y qué se creó, que es justo lo que mete el modelo en la lista para todas las siguientes. La primera sale cara; la segunda no debería ocurrir.

Un cliente que se cuelga antes de que el servidor reaccione está perdido. El borrado ocurre en cuanto el servidor ve el anillo, y en los nueve anillos de arriba llegó a tiempo. Una trampa que colgara a los clientes en el instante en que se carga el objeto la superaría. Todavía no hemos visto ninguna en RedM.

Los crashes tienen otras causas. Agotamiento de memoria, un script roto, una mala versión del juego, el navegador integrado. Una oleada de desconexiones no siempre es un ataque, y un anticheat RedM que tratara cada crash como tal acusaría a media población de tu servidor. La señal es la combinación: mismo lugar, mismos segundos, misma firma y un objeto recién creado en medio.

#Lista de comprobación del anticheat RedM: tres preguntas sobre crashes

Si estás comparando productos, hazle estas tres preguntas a cualquier proveedor de anticheat RedM:

1. 1

   ¿Actúa antes del crash? Retirar los objetos en los primeros segundos, no reportar el crash después.

2. 2

   ¿Cómo distingue el decorado de un ataque? Si la respuesta es solo la distancia o el número de objetos, espera que marque tus propios scripts.

3. 3

   ¿A quién acusa? El propietario de red actual de un objeto no siempre es el jugador que lo creó.

La lista de detecciones está en la página de funciones, el panel de demostración muestra expedientes reales sin cuenta, y los precios son públicos. Nuestro anticheat RedM reúne todo el conjunto en una sola página. Para los principios de fondo, empieza por cómo funciona un anticheat RedM, y para saber por qué tiene que decidirlo el servidor y no el cliente, lee lado del servidor frente a lado del cliente.