Attaques par crash sur RedM : ce qu’un anticheat RedM doit faire avant le crash, pas après

Un mardi soir à Blackwater, 55 joueurs en ligne. En un peu plus de deux secondes, huit d’entre eux sont éjectés du serveur, tous avec le même message : Game crashed. Personne n’a tiré un coup de feu, et chacun se trouvait à environ quarante mètres du même endroit. C’est une attaque par crash, le cheat qui ne cherche pas à gagner un combat mais à mettre fin à la session de tous les autres. C’est aussi le test le plus net de ce à quoi sert un anticheat RedM : un crash ne se punit pas après coup, car à ce moment-là le mal est fait.

#Ce qu’est vraiment une attaque par crash

RedM, comme FiveM, laisse chaque client créer des objets dans le monde partagé : caisses, accessoires, décors, le mobilier de tous les scripts de roleplay. Le serveur se contente surtout de les relayer à tous ceux qui sont à proximité. Une attaque par crash détourne ce relais. Le tricheur fait apparaître des objets que le moteur du jeu ne sait pas gérer sans risque, et les place près des gens dont il veut se débarrasser. Tous les clients qui les chargent plantent.

Le schéma observé sur RedM est très régulier. Un petit lot d’objets identiques apparaît en anneau serré autour d’une victime, quelques mètres plus haut, tous au même instant. En quelques secondes, tous ceux qui sont à portée plantent, presque tous avec la même signature dans l’exécutable du jeu. Le tricheur peut se tenir loin : ce qui compte, c’est où sont les objets, pas où il est.

#Pourquoi la plupart des anticheat RedM ne le voient qu’après

Un anticheat RedM classique surveille les joueurs : leur position, leur santé, leurs tirs, les ressources qu’ils démarrent. Une attaque par crash ne montre rien de tout cela. Le tricheur ne se téléporte pas, ne subit aucun dégât, ne vise personne. Côté serveur, ce qui se passe est une création d’objet, l’événement le plus banal qui soit : un serveur de roleplay chargé en voit des centaines par minute.

La réponse habituelle est donc une enquête après coup. Les joueurs signalent le crash, le staff ouvre la console txAdmin, voit une colonne de lignes « Game crashed » et commence à deviner qui se trouvait à côté. C’est lent, ça accuse celui qui passait par là, et ça ne fait rien contre la vague suivante, qui arrive dix minutes plus tard.

Un anticheat RedM qui se contente de signaler une attaque par crash ne sert à rien contre elle. La seule défense qui compte est celle qui retire les objets avant que les clients ne les affichent, et cette fenêtre fait quelques secondes de large.

#Comment le serveur la devance

Le serveur voit chaque objet réseau au moment de sa création, avant que les clients proches aient fini de le charger. C’est cette fenêtre. Notre anticheat RedM l’exploite en trois couches.

1. Les modèles de crash connus sont refusés d’emblée

Certains modèles sont tout simplement dangereux. Chaque vague de crashs enregistrée par le serveur est analysée, et les modèles impliqués sont ajoutés à une liste partagée. Un modèle que le jeu ne parvient même pas à résoudre est appris automatiquement. Un modèle valide qui revient sans cesse quelques secondes avant des crashs est ajouté après corrélation : celui utilisé le 13 octobre avait été créé juste avant 22 des 79 vagues de crashs que ce serveur a traversées en deux semaines. Dès qu’un modèle est sur la liste, le serveur annule sa création et supprime toute copie déjà présente dans le monde. La liste est partagée : un modèle appris sur un serveur protège tous les serveurs qui utilisent le même anticheat RedM.

2. L’anneau se reconnaît à sa forme

Ce que l’attaque ne peut pas cacher, c’est sa géométrie : une rafale d’objets, d’un même créateur, qui se referme autour d’un joueur. Le serveur guette cette forme sur chaque objet dont il voit la création.

Un anneau seul n’est pas une preuve, comme le montre la section suivante. Ce que le serveur en fait dépend de ce que sont les objets et de l’endroit où se tient leur créateur. Un anneau qui porte un modèle de crash connu est supprimé en entier, pour tous les clients, où que soit son créateur. Le même soir, après la vague ci-dessus, le même attaquant a placé neuf anneaux de plus entre 20 h 57 et 21 h 24. Les neuf ont été supprimés en entier. Aucun crash n’a suivi l’un d’eux dans les dix secondes.

3. Le créateur est sanctionné, avec prudence

Supprimer les objets protège les joueurs. Écarter l’attaquant protège la soirée suivante. Un propriétaire de serveur peut faire expulser automatiquement un créateur pris à placer un modèle de crash connu, puis le faire bannir s’il recommence. Quand le staff le bannit comme tricheur, ses comptes liés et les adresses depuis lesquelles il s’est connecté sont signalés aussi, pour que le deuxième compte qu’il crée ne parte pas avec un laissez-passer.

#Le plus dur : ne pas accuser le mauvais joueur

La défense contre les crashs est l’endroit où un anticheat RedM peut faire le plus de tort aux joueurs honnêtes, pour deux raisons que nous avons apprises à la dure.

Les scripts légitimes construisent aussi des anneaux. Les serveurs de roleplay font apparaître des décors par rafales : un campement, un étal de marché, un lot de caisses qui surgit autour de quiconque entre dans la zone. Sur le même serveur, un script à Blackwater faisait créer par le client d’un joueur situé à environ 45 m dix objets autour de la personne la plus proche, encore et encore, avec à chaque fois un « créateur » innocent différent. Par le nombre et par la distance, cela ressemblait exactement à une attaque. En deux jours, le serveur a enregistré 24 anneaux. Seuls 9 portaient un modèle lié aux crashs, et ces 9 étaient les attaques. Les 15 autres, pour autant que nous ayons pu les retracer, étaient du décor. La distance ne sépare pas les deux ; le modèle, si. Un anneau sans modèle de crash connu n’entraîne une action que si son créateur se tient pile sur la victime. Sinon, il est journalisé pour analyse et laissé tranquille : pas de suppression, pas d’alerte, personne d’accusé.

Le « créateur » n’est pas toujours l’auteur. Sur RedM, le serveur attribue un objet au client qui le possède actuellement sur le réseau, et la propriété change de main : quand un joueur part ou s’éloigne, ses objets peuvent migrer vers quelqu’un à proximité. Nous avons vu les objets de crash d’un attaquant réapparaître sous un joueur innocent cinq secondes plus tard, avec les mêmes identifiants réseau. Notre anticheat RedM conserve désormais le créateur d’origine quand un objet revient sous un autre propriétaire avec la même identité, et ne le compte jamais contre le nouveau.

#Ce que cette défense ne sait pas faire

La toute première vague d’un nouveau modèle peut passer. Si le modèle est inconnu et que rien d’autre dans l’anneau n’est concluant, le serveur le journalise plutôt que de risquer de supprimer le décor d’un script légitime. Cette vague est enregistrée avec qui était où et ce qui a été créé, ce qui est exactement ce qui met le modèle sur la liste pour toutes les vagues suivantes. La première coûte cher ; la deuxième ne devrait pas arriver.

Un client qui plante avant que le serveur réagisse est perdu. La suppression a lieu dès que le serveur voit l’anneau, et sur les neuf anneaux ci-dessus elle est arrivée à temps. Un cheat qui ferait planter les clients à l’instant où l’objet se charge la battrait. Nous n’en avons pas encore vu sur RedM.

Les crashs ont d’autres causes. Mémoire saturée, script défaillant, mauvaise version du jeu, navigateur intégré. Une vague de déconnexions n’est pas toujours une attaque, et un anticheat RedM qui traiterait chaque crash comme tel accuserait la moitié de votre serveur. Le signal, c’est la combinaison : même lieu, mêmes secondes, même signature, et un objet tout neuf au milieu.

#Checklist anticheat RedM : trois questions sur les crashs

Si vous comparez des produits, posez ces trois questions à n’importe quel éditeur d’anticheat RedM :

1. 1

   Agit-il avant le crash ? Retirer les objets dans les premières secondes, pas signaler le crash après coup.

2. 2

   Comment distingue-t-il un décor d’une attaque ? Si la réponse est la distance ou le nombre d’objets seuls, attendez-vous à voir vos propres scripts signalés.

3. 3

   Qui accuse-t-il ? Le propriétaire réseau actuel d’un objet n’est pas toujours le joueur qui l’a créé.

La liste des détections est sur la page des fonctionnalités, le panel de démo montre de vrais dossiers sans compte, et les tarifs sont publics. Notre anticheat RedM met toute la pile sur une seule page. Pour les principes sous-jacents, commencez par comment fonctionne un anticheat RedM, et pour comprendre pourquoi c’est le serveur qui doit prendre cette décision plutôt que le client, lisez côté serveur contre côté client.