Компания Valve опубликовала большое пояснение к изменению системы обмена предметами в Steam, которое вызывает у пользователей массу вопросов.

Недавно мы видели, как сообщество обсуждаем плюсы и минусы холдов обмена (удержания предметов при обмене). Мы подумали, что неплохо было бы рассказать, как мы пришли к такому решению, и надеемся, что вы поймете, почему это необходимо.

Взломанные учетные записи и кражи предметов

Воровство аккаунтов Steam имело место с самого начала запуска Steam, но с выходом обмена проблема выросла в 20 раз, так же как и число обращений от пользователей. Кража аккаунта и всех ваших предметов это ужасный опыт, и мы ненавидели, что это случалось все чаще и чаще с нашими клиентами.

Как только учетная запись скомпрометирована, предметы оттуда быстро исчезали. Они обменивались снова и снова, передаваясь невинному пользователю. Если посмотреть на активность аккаунта, то нетрудно было понять, что происходит, но ничего не делать было еще тяжелее, потому что мы не хотим отнимать предметы у ни в чем неповинных пользователей. Мы решили подстраховаться в части их защиты: мы оставляли украденные вещи и создавали дубликаты украденных предметов на скомпрометированном аккаунте. Мы были полностью осведомлены о компромиссе здесь. Дублирование украденных вещей уменьшало их и таких же предметов стоимость в экономике.  Это может быть не так ощутимо для обычных предметов, но для редких это означало потенциальное увеличение их количества.

Количество угнанных аккаунтов продолжает расти

Это был неприемлемый статус кво и нам надо было с этим разобраться. Мы пересмотрели свою стратегию и нашли две примечательные особенности.

Во-первых, в системе вращалось достаточно денег, чтобы кража виртуальных вещей стала реальным бизнесом для продвинутых хакеров. Во-вторых, почти все активные аккаунты Steam  теперь вовлечены  в экономику через предметы или карты с достаточной стоимостью, чтобы стоить потраченного хакером времени. То есть, все аккаунты Steam теперь являются целью хакеров.

История «Меня взломали» стала звучать так часто, что не лезло ни в какие ворота. Она стала обыденностью, и ее значимость стала уменьшаться; взломанные учетные записи почты и компьютеров, нарушения аккаунтов Steam, кражи. Мы придерживались мнения, что если вы умны и заботитесь о своей безопасности, вы защищены — легко было сделать вывод, что те пользователи, которые были взломаны, были новичками или технически неподготовленными пользователями, которые, должно быть, поделились своим паролем или открывали подозрительные ссылки.  Но это не тот случай.

То, что было несколькими хакерами разрослось в организованную сеть и бизнес по кражам и продаже предметов. Для них было проще проследовать за пользователем, который не понимает, как обеспечить свою безопасность онлайн, но стоимость вещей была стоящей, чтобы преследовать каждого. Мы видим, что около 77000 аккаунтов ежемесячно крали и грабили. И это не новые наивные пользователи, это профессиональные игроки CS:GO, вкладчики reddit, скупщики предметов и т.д. Пользователей для кражи выбирали рандомно как часть более общей группы или индивидуально. Хакеры могли ждать месяцами, не переставая пытаться получить доступ. Это заведомо проигрышная ситуация по защите своих предметов против  тех, кто живет за счет краж.

Мы можем помочь пользователям, которые подверглись кражам, восстанавливая их аккаунты и предметы, но это не удерживает бизнес по краже аккаунтов. Становится только хуже.

Как мы можем это остановить

Мы работали над улучшением безопасности аккаунтов, закрыванием лазеек, сообщением пользователям как и когда их аккаунты подвергаются риску, добавлением автоблокировки и созданием Steam Guard Mobile Authenticator (двухфакторной аутентификации)

Двухфакторная аутентификация это использование двух независимых устройство для подтверждения вашей личности. Безопасность этой системы базируется на переносе этого шага с вашего ПК на устройство, к которому хакеры не имеют доступ, например, смартфон. ПК можно легко компрометировать, поэтому на базе ПК нельзя организовать лучшую защиту, чем через пароль или email.

Нам нужно было создать наш собственный двухфакторный аутентификатор, потому что нам нужно показать пользователям содержание обмена на другом устройстве и, чтобы они там смогли его подтвердить. Запрос у пользователей кода с общего аутентификатора и его ввода на взломанном ПК для подтверждения обмена означает, что хакеры могли бы обмануть пользователя и заставить его обменять предметы, которые он обменивать не собирается. Это в основном делает невозможным использовать сторонние аутентификаторы, такие как Google аутентификатор, для подтверждения обмена.

А вот и компромисс

В этот раз большинство людей не защитили аккаунт данным средством повышения уровня безопасности. Многие не верят, что они стоят внимания хакеров, которые делают деньги. Некоторые думаю, что они достаточно умны, чтобы обойтись от двухфакторной аутентификации. И остальные знают, что она им нужна, но не пользуются по независящим от них причинам, например, отсутствия доступа к мобильному телефону.

Что, если вместо попыток предотвратить хакеров от возможности красть аккаунты Steam, которые не имеют двухфакторной аутентификации, мы попытаемся предотвратить получение ими выгоды от кражи? Если хакеры не могут обменять предметы с украденного аккаунта, они не смогут продать их за реальные деньги, и это уберет первичный стимул кражи аккаунта. Хакеры принципиально полагаются на обмен, чтобы получить выгоду с украденных вещей. Торговая площадка Steam  не настолько хорошо работает в этом отношении, потому что купленные вещи нельзя обменивать 7 дней и они не могут обеспечить того, чтобы предмет переместился быстро на подконтрольный им аккаунт.

Одним вариантом было отменить обмен. Торговая площадка Steam это место где уже обменивается большинство виртуальных товаров между пользователями Steam. Мы также подсчитали выручку от этих транзакций, которые покроют расходы на мошенничество, в отличие от обмена между двумя пользователями. Ну и убрать торговлю это самое простое для исполнения решение.  Но мы посчитали, что это плохое решение для пользователей. Другим простым решением было требовать двухфакторную аутентификацию для обмена, но это так же плохо, как и запрет обмена в целом. Это важно, что вы можете сделать подарок другу в виде оружия TF2, когда он приходит попробовать поиграть в эту игру, или дать другу последнюю карту, когда ему нужно сковать значок.

Мы считаем, что двухфакторной аутентификации достаточно, чтобы защитить того, кто ею пользуется, так что осталась только проблема с теми аккаунтами, которые не могут ее использовать (не имеют доступа к телефону). В конце концов, мы пришли к тому, что мы предлагаем сейчас:

• Любой, кто отдает предметы при обмене, должен иметь включенный как минимум 7 дней Мобильный Аутентификатор на их аккаунте, так же как и включенные подтверждения обмена. В противном случае, предметы будут удержаны (поставлены на холд) в течение 3 дней перед отправкой.
• Если вы были друзьями хотя бы 1 год, то предметы удерживаются в течение 1 дня перед отправкой.
• Аккаунты с включенным как минимум 7 дней Мобильным Аутентификатором не имеют ограничений на обмен или использование Торговой площадки Steam , когда используют новое устройство, т.к. сделки в этом случае будут защищены Мобильным Аутентификатором.

Это означает, что любой, кто использует Мобильный Аутентификатор для подтверждения обмена может спокойно продолжать обмениваться предметами как обычно. Пользователи, которые его не включили, или не могут, тоже могут проводить обмен, но им придется подождать до 3 ней, пока операция обмена завершится. Это дает и пользователям, и Steam время, чтобы определить, что их аккаунты взломаны и восстановить их до тех пор, пока хакеры не обменяли их предметы.

Трудный баланс

Еще раз, мы прекрасно понимаем, что это компромисс с большим влиянием на обмен. Каждый раз, как мы добавляем шаги безопасности между действиями пользователя и их желаемым результатом, мы усложняем использование нашего продукта. К сожалению,  это тот самый раз из тех, когда мы чувствуем, что либо мы добавляем этот шаг, либо прикрываем обмен. Запрос пользователя ввести пароль, чтобы войти в его аккаунт это не то, о чем мы сегодня заморачиваемся, но принцип тот же — издержки безопасности для обеспечения функционирования системы. Мы сделали все, что от нас зависит, чтобы эти издержки свести к минимуму, чтобы затронуть как можно меньшее количество людей, и, в то же время, сохранить эффективность и функциональность.

Надеемся, этот пост дал вам некое освещение проблемы, и почему мы выбрали этот подход. Как всегда, мы будем продолжать читать обсуждения в сообществе на форумах Steam и вообще в интернете и будем прислушиваться к вашему мнению.

Источник, перевод Natusik