Highscores in iPhone-spellen steeds vaker doelwit van hackers

Zoals bij veel haastig gebouwde dingen sluipt er ook bij Apple wel eens iets tussendoor, waardoor hackers hun slag kunnen slaan. Het bleek bij de SMS-hack van Charlie Miller, maar nu blijkt dat highscores van games nog veel makkelijker te hacken zijn. Highscores zijn voor de PC, Mac en console niet nieuw. Vooral met spellen als Battlefield 1942, maar ook Quake, Tribes en Counterstrike zijn spellen waar sommige mensen dag en nacht mee bezig zijn om meer punten te halen, op zoek naar eer en eeuwige roem. Deze highscore-opties zijn ook steeds meer games in de App Store te vinden, maar het blijkt dat ze gemakkelijk zijn te hacken.

Highscores in games zijn een interessante mogelijkheid voor ontwikkelaars, omdat er vraag naar is. Gebruikers verwachten in games allerlei extra’s zoals koppelingen naar sociale netwerksites (Facebook, Twitter) of het kunnen uploaden van scores naar een online lijst.

Ontwikkelaars zijn bereid moeite te investeren in zo’n highscore-overzicht. Het liefst wordt er een lijst gemaakt waarop je een score te zien krijgt van spelers in de buurt en overzichten van jouw scores ten opzichte van de rest van de wereld. Ontwikkelaars kampen met problemen om dergelijke lijsten te integreren en werkend te houden. Zo moet er rekening gehouden worden met onder andere administratie, veiligheid, beveiliging en schaalbaarheid. Er zijn drie opties om de highscorelijsten te integreren:

1 – Highscorelijsten niet wereldwijd inzichtelijk maken. De makkelijke manier: gewoon lokale scores bijhouden. Hiermee verliest de gebruiker de mogelijkheid om zijn ultieme score te delen met de wereld. De kans dat gebruikers hierdoor meer negatieve reacties plaatsen over het spel, neemt echter wel toe. De ontwikkelaar hoeft hierbij geen aandacht te besteden aan beveiliging en schaalbaarheid.

2 – De volledige functionaliteit van een highscorelijst zelf ontwikkelen. Hiermee zijn veel kosten gemoeid. Vaak is er iemand fulltime mee bezig om dit te realiseren en draaiend te houden. Je hebt in dit geval volledige controle, maar de kosten worden moeilijk terugverdiend. Het is een constante kostenpost, voor zowel personeel als serverkosten.

3 – Gebruik maken van de diensten van anderen. Veel ontwikkelaars gebruiken Twitter als highscore-tool. Het is makkelijk om te doorzoeken: gewoon de API gebruiken om bepaalde tweets te filteren en deze te gebruiken in de lijst. Het probleem is hier dat iedereen een willekeurige score kan plaatsen op Twitter. Dit is bijvoorbeeld af te vangen met controle op User Agent of hashcode maar zijn allemaal op zekere hoogte te hacken.

Een conclusie die hieruit gehaald kan worden is dat scorelijsten altijd een probleem zijn om fatsoenlijk te integreren. Daarbij komt ook nog dat ze in bijna alle gevallen te hacken zijn. Hackers proberen allemaal om de nummer 1-positie over te nemen via een truuk in de code en daar slagen ze regelmatig in. Flight Control en Moon Drop zijn daar prima voorbeelden van: de topscores bij deze games zijn onrealistisch hoog. Als gewone speler kun je je niet voorstellen, dat iemand op een eerlijke manier zo’n absurd hoge score heeft gehaald.

Het hacken van highscores komt bij steeds meer grotere spellen voor. Wat kan een ontwikkelaar dan nog doen om dit tegen te gaan? Steeds meer ontwikkelaars hebben hun eigen highscore-platform ontwikkeld. Aurora Feint is er daar 1 van. Open Feint is een framework waar ontwikkelaars gebruik van kunnen maken om op een makkelijke manier een highscore-optie in hun applicatie te bouwen. Een van de voordelen is mede dat je op deze manier per gebruiker highscores van meerdere applicaties makkelijk bij elkaar kan brengen. Nog een voordeel is dat als er een lek is en dit wordt gedicht, dan geldt dit direct voor alle applicaties die gebruik maken van dit framework. Een nadeel is dat ontwikkelaars beperkt zijn in het aanpassen van deze highscores. Er is een mate van afhankelijkheid van het framework. Toch heeft elk framework wel mogelijkheden om functionaliteiten te integreren zonder dat deze de applicatie verstoord. Dit soort frameworks worden steeds meer opgezet, mede doordat investeerders hier ook steeds meer brood in zien.

Ben jij ontwikkelaar en heb jij ook highscores geïntegreerd? Hoe heb jij het aangepakt? Wat zijn je ervaringen?