Der folgende Inhalt behandelt verschiedene Konzepte und Taktiken zur Verbesserung der Sicherheit und zur Minderung von Betrug in Ihren Roblox-Erlebnissen. Es wird dringend empfohlen, dass alle Entwickler diese durchlesen, um sicherzustellen, dass Ihre Erlebnisse sicher und fair für alle Benutzer sind. Überprüfen Sie die Seitenleiste für zusätzliche Sicherheitsthemen.
Drittanbieter-Assets aus dem Creator Store (Toolbox) stellen eine häufige Quelle für Sicherheitsrisiken dar, da sie bösartige Skripte enthalten können, die als Backdoors bezeichnet werden. Diese Skripte verschaffen ihren Erstellern unbefugten serverseitigen Zugriff auf Ihr Erlebnis, wodurch sie dessen Zustand manipulieren, sensible Daten stehlen oder das Erlebnis für Ihre Spieler stören können.
Backdoors sind besonders gefährlich, da sie oft in ansonsten legitim aussehenden Modellen erscheinen. Ein scheinbar harmloses Gebäude oder Fahrzeug könnte ein Skript enthalten, das aktiviert wird, wenn bestimmte Bedingungen erfüllt sind, wie zum Beispiel, wenn ein spezifischer Spieler beitritt oder ein bestimmter Befehl ausgeführt wird. Wenn ein Modell Skripte enthält, wird dies in der Benutzeroberfläche der Toolbox angezeigt, bevor und während der Einfügung.
Roblox moderiert Modelle auf bösartige Skripte sowohl proaktiv als auch als Reaktion auf Meldungen, aber dieser Prozess garantiert nicht, dass alle solchen Skripte entfernt werden.
Schützen Sie Ihr Spiel
Die effektivste Verteidigung gegen Backdoors ist das Sandboxen. Wenn Sie ein Modell einfügen, sollten Sie dessen Skripte enthalten, um zu verhindern, dass bösartiger Code auf sensible APIs zugreift oder Systeme außerhalb des Modells beeinflusst.
- Setzen Sie SandboxedInstance auf Experimental im Workspace.
- Setzen Sie im Eigenschaften-Fenster die Sandboxed-Eigenschaft des Modells auf true.
- Konfigurieren Sie die Capabilities-Eigenschaft, um nur die spezifischen Berechtigungen zu gewähren, die das Asset benötigt, um zu funktionieren.
Beachten Sie, dass während der Beta einige Funktionen möglicherweise nicht wie erwartet funktionieren, wenn Sandboxed gesetzt ist und eine Fehlermeldung mit dem Hinweis "...lacking Capability Unassigned" erscheint. Diese werden behoben, sobald die Capabilities aus der Beta eingeführt werden.
Seien Sie besonders vorsichtig bei der Gewährung von Network-, DataStore-, AssetRequire-, CapabilityControl- oder LoadString-Fähigkeiten an Drittanbieter-Assets, es sei denn, Sie verstehen genau, warum das Asset sie benötigt. Diese Fähigkeiten gewähren Zugriff auf leistungsstarke Systeme, die von Backdoors häufig ausgenutzt werden.
Überprüfen Sie vor der Verwendung eines Assets sorgfältig dessen Skripte. Achten Sie besonders auf obfuscated oder ungewöhnlich komplexen Code. Böswillige Akteure verwenden häufig täuschende Techniken, um schädliche Inhalte zu verbergen, beispielsweise indem sie Whitespace verwenden, um bösartigen Code außer Sichtweite zu positionieren, wenn er im Studio-Editor angesehen wird. Ziehen Sie in Betracht, hochbewertete Community-Assets zu bevorzugen, die von anderen Entwicklern geprüft wurden, denken Sie jedoch daran, dass Beliebtheit keine Sicherheit garantiert. Für umfassende Anleitungen zur Konfiguration von Skripteinschränkungen siehe Script Capabilities.
In Zukunft planen wir, alle Assets aus dem Creator Store automatisch mit geeigneten Capabilities zu sandboxen.