Краш-атаки на RedM: что античит RedM должен сделать до краша, а не после

Вечер вторника в Блэкуотере, на сервере 55 игроков. Чуть более чем за две секунды восемь из них вылетают с одним и тем же сообщением: Game crashed. Никто не сделал ни одного выстрела, и все стояли в пределах примерно сорока метров от одной точки. Это краш-атака: чит, который пытается не выиграть перестрелку, а оборвать сессию всем остальным. Это же самая ясная проверка того, зачем нужен античит RedM: краш нельзя наказать задним числом, потому что к тому моменту ущерб уже нанесён.

#Что такое краш-атака на самом деле

RedM, как и FiveM, позволяет каждому клиенту создавать объекты в общем мире: ящики, реквизит, декорации, всю «мебель» любого ролевого скрипта. Сервер в основном просто передаёт их всем, кто находится рядом. Краш-атака злоупотребляет этой передачей. Читер создаёт объекты, которые игровой движок не может безопасно обработать, и размещает их рядом с теми, кого хочет выбить с сервера. Каждый клиент, загрузивший такие объекты, вылетает.

Картина, которую мы видим на RedM, очень закономерна. Небольшая партия одинаковых объектов появляется плотным кольцом вокруг жертвы, на несколько метров выше земли, и всё это в один и тот же миг. Через считанные секунды вылетают все, кто попал в радиус, почти всегда с одной и той же сигнатурой в исполняемом файле игры. Читер может стоять далеко: важно, где находятся объекты, а не где он сам.

#Почему большинство античитов RedM видят это только потом

Классический античит RedM следит за игроками: за их позицией, здоровьем, выстрелами, запускаемыми ресурсами. Краш-атака ничего из этого не показывает. Читер не телепортируется, не получает урон, ни в кого не целится. С точки зрения сервера происходит создание объекта, самое обычное событие из всех возможных: на загруженном ролевом сервере их сотни в минуту.

Поэтому типичная реакция сводится к разбору полётов. Игроки жалуются на вылет, персонал открывает консоль txAdmin, видит колонку строк «Game crashed» и начинает гадать, кто был рядом. Это медленно, под подозрение попадает тот, кто просто оказался поблизости, и это ничем не помогает против следующей волны, которая придёт через десять минут.

Античит RedM, который лишь сообщает о краш-атаке, против неё бесполезен. Работает только защита, которая убирает объекты до того, как клиенты их отрисуют, а это окно шириной в пару секунд.

#Как сервер останавливает атаку первым

Сервер видит каждый сетевой объект в момент его создания, раньше, чем ближайшие клиенты закончили его загрузку. Это и есть окно. Наш античит RedM использует его в три слоя.

1. Известные краш-модели отклоняются сразу

Некоторые модели просто опасны. Каждая зафиксированная серверной стороной краш-волна анализируется, а задействованные в ней модели попадают в общий список. Модель, которую игра не может даже разрешить, добавляется автоматически. Корректная модель, которая постоянно появляется за секунды до крашей, добавляется после корреляции: модель, использованная 13 октября, создавалась прямо перед 22 из 79 краш-волн, которые этот сервер пережил за две недели. Как только модель попала в список, сервер отменяет её создание и удаляет все уже существующие в мире копии. Список общий: модель, выявленная на одном сервере, защищает каждый сервер с тем же античитом RedM.

2. Кольцо узнаётся по форме

Чего атака скрыть не может, так это своей геометрии: пачка объектов от одного создателя, смыкающаяся вокруг одного игрока. Сервер следит за этой формой для каждого создаваемого на его глазах объекта.

Одно лишь кольцо ещё не доказательство, как показывает следующий раздел. Что сервер сделает с ним, зависит от того, что это за объекты и где стоит их создатель. Кольцо с известной краш-моделью удаляется целиком, у всех клиентов, где бы ни находился создатель. В тот же вечер, после описанной выше волны, тот же атакующий поставил ещё девять колец между 20:57 и 21:24. Все девять были удалены целиком. Ни одного краша в течение десяти секунд после любого из них не последовало.

3. Создателя наказывают, но осторожно

Удаление объектов защищает игроков. Устранение атакующего защищает следующий вечер. Владелец сервера может настроить автоматический кик для создателя, пойманного на размещении известной краш-модели, и бан, если он повторит. Когда персонал банит его как читера, связанные с ним аккаунты и адреса, с которых он подключался, тоже помечаются, так что второй созданный им аккаунт не получит свободного хода.

#Самое сложное: не обвинить не того игрока

Защита от крашей это то место, где античит RedM способен нанести честным игрокам больше всего вреда, и по двум причинам, которые мы выучили на горьком опыте.

Легитимные скрипты тоже строят кольца. Ролевые серверы создают декорации пачками: лагерь, рыночный прилавок, набор ящиков, появляющихся вокруг того, кто подошёл. На том же сервере скрипт в Блэкуотере заставлял клиент игрока, стоявшего примерно в 45 м, создавать десять объектов вокруг любого, кто оказывался рядом, раз за разом, каждый раз с другим невиновным «создателем». По числу и по расстоянию это выглядело в точности как атака. За два дня сервер зафиксировал 24 кольца. Только 9 несли модель, связанную с крашами, и именно эти 9 были атаками. Остальные 15, насколько мы смогли проследить, были декорациями. Расстояние эти случаи не разделяет, а модель разделяет. На кольцо без известной краш-модели реагируют, только если его создатель стоит прямо на жертве. В остальных случаях оно записывается для анализа и остаётся нетронутым: без удаления, без оповещения, без обвинений.

«Создатель» не всегда автор. На RedM сервер приписывает объект клиенту, который владеет им в сети в данный момент, а владение переходит: когда игрок уходит или удаляется, его объекты могут перейти к кому-то поблизости. Мы видели, как краш-объекты атакующего через пять секунд снова появились у невиновного игрока с теми же сетевыми идентификаторами. Теперь наш античит RedM сохраняет исходного создателя, когда объект возвращается под другим владельцем с той же идентичностью, и никогда не засчитывает его новому.

#Чего эта защита не умеет

Самая первая волна новой модели может пройти. Если модель неизвестна и больше ничто в кольце не является убедительным, сервер записывает событие, а не рискует удалить декорации легитимного скрипта. Эта волна фиксируется: кто где был и что создавалось, и именно это вносит модель в список для всех следующих волн. Первая обходится дорого, вторая случаться не должна.

Клиент, который вылетел раньше, чем сервер среагировал, потерян. Удаление происходит, как только сервер увидел кольцо, и на девяти кольцах выше оно успело вовремя. Чит, роняющий клиенты в тот самый момент, когда объект загружается, обошёл бы эту защиту. На RedM мы такого пока не видели.

У крашей бывают и другие причины. Нехватка памяти, сломанный скрипт, неудачная сборка игры, встроенный браузер. Волна отключений не всегда атака, и античит RedM, считающий каждый краш атакой, обвинил бы половину вашего сервера. Сигнал в сочетании: то же место, те же секунды, та же сигнатура и свежий объект посередине.

#Чек-лист античита RedM: три вопроса о крашах

Если вы сравниваете продукты, задайте любому поставщику античита RedM эти три вопроса:

1. 1

   Действует ли он до краша? Убирает объекты в первые секунды, а не сообщает о краше потом.

2. 2

   Как он отличает декорации от атаки? Если ответ сводится к расстоянию или числу объектов, ждите, что под флаги попадут ваши собственные скрипты.

3. 3

   Кого он обвиняет? Текущий сетевой владелец объекта не всегда тот игрок, который его создал.

Список детекций на странице возможностей, демо-панель показывает реальные дела без регистрации, а цены публичны. Наш античит RedM собирает весь набор на одной странице. Для общих принципов начните со статьи как работает античит RedM, а почему это решение должен принимать сервер, а не клиент, читайте в серверный и клиентский античит.