Segurança em Jogos Eletrônicos

Nas minhas apresentações sobre segurança no desenvolvimento de software, um dos pontos que eu cito é que o uso do processo de desenvolvimento seguro é obrigatório em todos os produtos da Microsoft. É um dos fatores essenciais para o sucesso do processo. E eventualmente uma pergunta aparece: até para os jogos?

Sim, até para os jogos. Eu diria até que principalmente para os jogos. A era do Pac-Man acabou: os jogos hoje recebem updates da Internet, se conectam também a servidores e outros jogadores, e são usado por milhões de pessoas. Em termos de perfil de risco um Halo 2 está quase no mesmo nível de um Windows ou um Office. E com um conjunto interessantíssimo de ameaças - mais sobre isso em breve.

A notícia é que finalmente as apresentações (e o aúdio)o da Gamefest 2006 estão disponíveis em nosso site. Infelizmente agruparam todas elas em grandes arquivos ZIP de uns 400 MB que atrapalham o download, mas acreditem: vale a pena baixá-las. Uma das palestras é do inimitável Michael Howard sobre hardening de jogos e hardware do XBox, e outra uma espetacular apresentação de Dave Weinstein sobre os riscos de segurança envolvidos no desenvolvimento de um jogo.

E que riscos são esses? Como já falamos, do ponto de vista puramente de um software os jogos já são um alvo atrativo: são usados por milhões de pessoas, se conectam a outros sistemas na Internet e mais ainda recebem informações da Internet (como updates e conexões de outros jogadores). Também normalmente rodam com privilégios administrativos, o que aumenta significativamente a superfície de ataque. Isso por si só já os tornam alvos atrativos para worms e criadores de botnets.

Mas infectar a máquina dos usuários não é a única motivação para os ataques. Dave Weinstein cita outros pontos específicos para os jogos:

• Primeiro, existe a motivação de roubar no jogo, que torna o próprio usuário também um potencial atacante. Qual a graça de competir contra outros jogadores na Internet se vários deles virassem imortais devido a alterações feitas por estes individuos em seus próprios jogos? Você tem que proteger a integridade do jogo contra os próprios jogadores, o que é um feito dificílimo se  lembrarmos que a terceira lei imutável da segurança está aqui contra nós.
• Segundo, os ativos do mundo virtual dos jogos também tem valor no nosso mundo real. Existe uma significativa motivação financeira para comprometer a segurança de um jogo como o WoW por exemplo, onde os itens e personagens valem dinheiro e são comercializados em sites como o eBay - um mercado estimado em 800 milhões de dólares. E como disse o Dave Weinstein, como é que você vai chegar na polícia e prestar queixa que "roubaram a minha espada mágica"?

Por isso não surpreende que empresas com a Blizzard (do WoW) e a Microsoft invistam maciçamente em em sistemas anti-fraude nos seus jogos. Segurança aqui também faz parte da brincadeira.

P.S. Estamos fechando a grade de palestras do TechEd Brasil desse ano, nosso principal evento técnico, e eu vou apresentar uma sessão sobre o Processo de Desenvolvimento Seguro tratando desse e de outros temas relacionados. Espero vocês lá!

UPDATE: Faltou o mais importante - o link para as apresentações de segurança do Gamefest 2006! Você pode baixá-las aqui. As palestras são a "Games as Malware: Why Security is Your Problem Too" de Dave Weinstein, e "Hardening the Box: The Xbox 360 and Windows Vista Security Models" de Michael Howard.