A modern többjátékos PC-s játékok indításakor egyre gyakrabban találkozunk szigorú követelményekkel: a rendszer újraindítást kér, a BIOS-ban Secure Bootot és TPM 2.0-t követel, a háttérben pedig egy folyamatosan futó felügyelőprogram telepszik meg. A Microsoft hivatalos architekturális dokumentációja és a Riot Games mérnöki beszámolói alapján a védelmi réteg eltolódása egy alapvető aszimmetriából fakad: a számítógépes architektúra szabályai szerint egyetlen program sem képes felügyelni egy nála magasabb rangú, mélyebben futó folyamatot.
Házmester vs. lakók: a Ring 0 és a Ring 3 világa
Hogy megértsük a helyzetet, képzeljünk el egy modern társasházat. Az x86 processzorok hierarchikus védelmi szinteket, úgynevezett gyűrűket (Ringeket) használnak a jogosultságok szétválasztására. A hétköznapi programok – a böngészők, a Discord és maguk a játékok – a lakók. Ők a legkülső védelmi szinten, a Ring 3-ban (felhasználói mód) élnek. A lakásuk ajtaja zárva van, a szomszéd zsebébe nem nyúlhatnak át, és ha friss vízre vagy áramra van szükségük, kizárólag a portáson keresztül kérhetik azt.
Ezzel szemben a Ring 0, vagyis a rendszermag (Kernel Mode) maga a főgépész és a házmester. Nála van a ház összes főkulcsa: korlátlanul beléphet bármelyik helyiségbe, lekapcsolhatja a főbiztosítékot, átláthatja a teljes fizikai memóriát és a csatlakoztatott eszközöket. A régi csalásvédelmi szoftverek – például az eredeti Valve Anti-Cheat – maguk is egyszerű lakók voltak a Ring 3-ban. Csak annyit tehettek, hogy a folyosón sétálgatva figyelték, nem próbálja-e meg valaki átfúrni a falat vagy módosítani a játék memóriáját. Amíg a csalók is a lakások szintjén próbálkoztak, a folyosói őrség elegendőnek bizonyult.
A védelem csődje: kiskapuk a kazánházban és hardveres fúrás
A macska-egér harc akkor vett fordulatot, amikor a cheat-fejlesztők rájöttek: ha megszerzik a házmester egyenruháját, a lakásban csücsülő játék és a védelme teljesen tehetetlenné válik. A 64 bites Windows ugyan szigorúan ellenőrzi, hogy ki léphet be a kazánházba (minden drivernek hivatalos Microsoft-aláírással kell rendelkeznie), ám a támadók kitalálták a BYOVD (Bring Your Own Vulnerable Driver) technikát. Ez a gyakorlatban azt jelenti, hogy nem hamis kulcsot gyártanak, hanem fognak egy hivatalos, de slendriánul megírt régi alaplapi segédprogramot – például egy 2018-as ventilátor- vagy RGB-világításvezérlő meghajtót. Ennek van érvényes belépője, de a fejlesztők nyitva hagytak rajta egy hátsó ablakot. A csalók ezen az ablakon át bemásznak a Ring 0-ba, és a legális szerelő nevében írják át a játék memóriáját.
Amikor a szoftveres réseket elkezdték befoltozni, megjelent a fizikai fúrás: a hardveres DMA (Direct Memory Access) támadás. Ulf Frisk PCILeech kutatási adattárában is részletesen tanulmányozható a folyamat lényege. A csaló fog egy speciális bővítőkártyát, bedugja az alaplapi PCIe foglalatba, és egy kábellel összeköti egy különálló másodlagos géppel vagy laptoppal. A kártya a processzor és az operációs rendszer teljes tudta nélkül, közvetlenül a fizikai memóriasínen olvassa le a játék adatait. A játékgépen semmilyen gyanús program vagy folyamat nem fut, az egérmozgás tiszta – miközben a csaló a másik monitoron tisztán látja a falak mögött rejtőző ellenfelek pozícióját.
A kiadók válasza: ébresztő a bekapcsoláskor és hardveres lakatok
A stúdiók felismerték, hogy a lakás szintjéről nem lehet felügyelni a kazánházat. Emiatt születtek meg a kernel módú csalásvédelmek, mint a Riot Vanguard, az Activision Ricochet vagy az EA Anticheat rendszere. Hogy a csalók ne tudjanak eléjük vágni, a Vanguard úgynevezett 0-s típusú, boot-idejű meghajtóként indul el: már a Windows bejelentkezési képernyője előtt betöltődik, hogy még azelőtt lezárja a kapukat, mielőtt bármilyen fertőzött segédprogram elindulhatna a háttérben.
A szoftveres jelenlét mellé azonban fizikai lakatok is kellettek. Ezért vált kötelezővé a Microsoft OEM Secure Boot eljárása és a TPM 2.0 biztonsági chip. A Secure Boot garantálja, hogy a gép indulásakor senki nem piszkálta meg a Windows alapvető rendszerfájljait és a bootloadert. A virtualizáció alapú biztonság és a kódintegritás-védelem (HVCI) hardveres fallal választja el a memóriaterületeket, míg az alaplapi IOMMU technológia egyszerűen karanténba zárja a PCIe foglalatokat: a bedugott kártyák csak a számukra kijelölt rekeszekhez férhetnek hozzá, megelőzve az ellenőrizetlen memóriatolvajlást.
A védelem ára: a Linux-kizárás és a kék halál réme
Ez a rendkívül mélyre nyúló felügyelet azonban súlyos kompromisszumokkal jár a mindennapokban. Az első nagy áldozat a platformfüggetlenség. A Valve Steam Deckje és az asztali Linux disztribúciók a Proton kompatibilitási rétegen keresztül tolmácsolják a Windowsos játékok hívásait. A tolmács azonban csak a lakók szintjén (Ring 3) működik: a zárt forráskódú, Windows-specifikus kernel-meghajtókat a Linux operációs rendszer biztonsági okokból elvi szinten sem engedheti be a saját rendszermagjába. Ez az oka annak, hogy a Vanguardot használó játékok egyáltalán nem indíthatók el Steam Decken.
A másik kockázat maga a rendszerstabilitás. Ha egy közönséges program hibázik a felhasználói térben, mindössze bezáródik az ablak vagy leáll a játék. Ha viszont a Ring 0-ban dolgozó házmester ejt el egy csavarkulcsot a főkapcsolón – azaz az illesztőprogram hibás memóriacímhez nyúl –, azonnal leáll az egész számítógép, és megjelenik a rettegett kék halál (BSOD). Ráadásul minden külső fejlesztésű szoftver a kernelben potenciális célpont: ha egy ilyen meghajtóban ismeretlen biztonsági rést találnak a hackerek, azzal közvetlen hozzáférést szerezhetnek a teljes számítógép felett.
A modern csalásvédelmek tehát nem szeszélyből költöztek a hardver legmélyére: a stúdiók a védelmi hierarchia egyensúlyát igyekeznek fenntartani egy olyan környezetben, ahol a csalók már régen a főkulccsal közlekednek.
