Nastolatek hakuje Steama i wrzuca grę bez jakiejkolwiek autoryzacji

Miłościwie nam panujący Gabe "Gaben" Newell Pierwszy musiał się nieźle zafrasować, widząc, jaki bałagan zrobił się w jego królestwie. Watch Paint Dry: The Game (czyli Obserwuj Schnącą Farbę: Gra) ani nie było na Steam Greenlight, ani nie przeszło przez jakąkolwiek autoryzację Valve, a mimo to wisiało sobie przez jakiś czas na oficjalnym sklepie platformy, bezczelnie głupie i marnej jakości. Sprawa robi się jeszcze bardziej wstydliwa, kiedy okazuje się, że felerny tytuł bez wiedzy firmy opublikował 16-latek.

Młody wiek hakera z pewnością brzmi odpowiednio kontrowersyjnie w nagłówkach i wzmacnia siłę przekazu, ale nie mamy do czynienia z kimś, kto komputera używa tylko po to, żeby sprawdzać maila. Ruby Nealon jest wyjątkowo młodym studentem (w wieku 14 lat przeszedł odpowiednie kursy przygotowawcze i dostał się na studia) oraz entuzjastą informatyki. Do tego łamie systemy komputerowe i znajduje w nich luki, odkąd skończył 11 lat. Początkiem jego "kariery" i pierwszym dużym sukcesem było poprawienie zabezpieczeń Microsoftu w grudniu 2012, co zapewniło mu miejsce w małym, wirtualnym Hall of Fame firmy. Chłopak szacuje, że w swoim życiu pomógł już przy około 75-100 lukach w najróżniejszych systemach. Podsumowując: jest małym geniuszem.

Marność zabezpieczeń Valve widział bardzo wyraźnie. W lutym napisał w tej sprawie szereg maili do firmy, ale został zignorowany. Postanowił więc zrobić coś większego; coś, co zwróci uwagę nie tylko Gabe'a Newella i spółki, ale i całej branży. Włamał się na zaplecze Steama, obszedł wszystkie procesy autoryzacyjne i bez niczyjej wiedzy opublikował swoją grę w wirtualnym sklepie platformy. Watch Paint Dry: The Game, czyli 45-sekundowe przeżycie obserwowania schnącej farby, miało jeden cel: w brutalny sposób pokazać, jak dziurawy jest system zabezpieczeń największej pecetowej usługi gamingowej na świecie.

No dobrze, to, że właśnie czytacie ten wpis, oznacza, że misja ewidentnie zakończyła się sukcesem, ale jak Nealon to właściwie osiągnął? Najpierw zdobył konto na Steamworks (nie zdradził jednak, w jaki sposób to zrobił, bo zwyczajnie nie mógł), które służy deweloperom do przygotowania swoich gier do autoryzacji. Stamtąd zajrzał do bebechów aplikacji i szybko zorientował się, co zrobić, aby przepuścić swoją grę do Steama. Najpierw musiał przygotować zakładkę sklepową produktu, ta musiała zostać zatwierdzona przez pracownika Valve, potem należało wrzucić ostateczną wersję gry i jeśli wszystko poszłoby zgodnie z planem, miał wtedy otrzymać opcję opublikowania dzieła.

Używając swoich umiejętności i eksploatując luki w zabezpieczeniach, Nealon oszukał system, że jego zakładka przeszła autoryzację i samodzielnie wrzucił Watch Paint Dry: The Game do sklepu. Szczegółowy opis tej operacji przygotowany przez głównego zainteresowanego przeczytacie tutaj. Trochę grzebania w kodzie sprawiło też, że Nealon ustawił datę publikacji (planował uczynić to żartem primaaprilisowym, ale przeoczenie sprawiło, że "wydał" grę od razu) i umieścił ją wśród nowych pozycji na platformie, wprowadzając tym samym zamęt w królestwie Gabena.

Owszem, cały proces wymagał od 16-latka odpowiedniej wiedzy, ale końcem końców nie była to jakaś niezwykle trudna rzecz. A takich Nealonów z solidnym ogarnięciem w kwestii zabezpieczeń i komputerowych systemów, jest na świecie cała masa. Ktoś o odpowiedniej determinacji i umiejętnościach mógłby zrobić znacznie poważniejszą rzecz niż wrzucenie do sklepu pierdółki o schnącej farbie.

- Jestem zadowolony z tego, jak ludzie zareagowali na ten psikus - wyznał Nealon, nawiązując do złości użytkowników Steama wynikającej z pojawienia się Watch Paint Dry: The Game. - Ludzie są wkurzeni, a ja chcialem, żeby o tym mówili. Chciałem, żeby uświadomoli sobie, że to jedna z największych stron w internecie, a to są jej zabezpieczenia. Pieprzony 16-latek rozgryzł to w dwie noce.

Ano, daje do myślenia. A jak zareagowało Valve? Metaforycznym uściskiem dłoni i podziękowaniami dla młodego informatyka. - Pracując z Rubym, rozwiązaliśmy problem - niezwykle elokwentnie wytłumaczył reprezentant firmy. - I podziękujemy mu jeszcze raz za zwrócenie naszej uwagi. Pozwolili też Nealonowi zachować konto do publikacji gier w sklepie, aby mógł dalej szukać błędów. Chłopak nie jest jednak zadowolony z postawy Valve.

- Nie tylko nie zaoferowali wyłapywania błędów za pieniądze tak, jak zrobiłby to Google - tłumaczy - ale nie zgodzili się nawet umieścić mojego nazwiska na liście osób, które zasłużyły się w poprawianiu zabezpieczeń platformy. Ta jest najwidoczniej przeznaczona tylko dla osób, które regularnie znajdują jakieś luki w systemie. Nie chcę zabrzmieć, jakbym marudził, ale gdyby to był Google albo firma o podobnych rozmiarach i podatności na ataki, zapłaciłaby za to, co zrobiłem. Ale Valve nie zaoferowało mi nic. Nie jestem wkurzony, tylko nieco rozczarowany, biorąc pod uwagę, o jakiego formatu firmie mówimy.

Nealon zwraca też uwagę, że taka polityka twórców Steama źle rokuje bezpieczeństwu platformy. Jeśli Valve nie oferuje wynagrodzeń dla wolnych strzelców, którzy wyłapują błędy w systemie, ci nie zainteresują się ich szukaniem, co może skutkować licznymi dziurami, które nawet w tym momencie mogą być wykorzystywane przez nieodpowiednie osoby. Tak jak wspominałem - Nealon zdecydował się na niewinny choć odważny i całkiem złośliwy żart, który miał coś zasygnalizować. Ktoś bardziej bezlitosny mógłby tam natomiast wrzucić wirusa albo jeszcze bardziej zagłębić się w felerne zabezpieczenia i zrobić coś znacznie mniej śmiesznego, co zaszkodziłoby ogromnej bazie graczy korzystających z platformy Valve.

Drogi Newellu, pomyśl może jednak nad zainwestowaniem pieniędzy w odpowiednich informatyków, co? Głupio by było, gdyby, dajmy na to, pewnego dnia biblioteki ponad stu milionów użytkowników wyparowały. To oczywiście skrajnie apokaliptyczny scenariusz, ale jakoś trudno mi w tego typu sytuacjach nie wierzyć w jego prawdopodobieństwo.

[źródło: Kotaku, "wpis instruktażowy" Nealona, Steam]

Patryk Fijałkowski