Nội dung sau đây đề cập đến nhiều khái niệm và chiến thuật nhằm cải thiện an ninh và giảm thiểu gian lận trong trải nghiệm Roblox của bạn. Rất khuyến khích tất cả các nhà phát triển đọc qua những điều này để đảm bảo rằng trải nghiệm của bạn an toàn và công bằng cho tất cả người dùng. Kiểm tra thanh bên để biết thêm các chủ đề về an ninh.
Mục này giả định rằng bạn đã xác thực các đầu vào và ngữ cảnh (xem các phần trước). Bài viết này đề cập đến những gì cần làm sau khi một yêu cầu về mặt kỹ thuật là hợp lệ nhưng hành vi có vẻ lạm dụng, cùng với cách phản ứng mà không làm tổn hại đến những người chơi hợp lệ.
Triết lý
- Máy chủ quyết định. Việc phát hiện và trừng phạt diễn ra trên máy chủ. Cố gắng không bao giờ cấm dựa trên các phát hiện từ phía client, vì những kẻ khai thác có thể dễ dàng vượt qua chúng.
- Ngăn chặn tổn hại trước. Vô hiệu hóa một cách âm thầm tác động của một cuộc khai thác. Ví dụ, nếu một người chơi đang sử dụng hack tốc độ, chỉ cần đưa họ quay trở lại vị trí hợp lệ cuối cùng của họ thay vì ngay lập tức đá họ. Chỉ trừng phạt khi cần thiết để bảo vệ trải nghiệm hoặc những người chơi khác.
- Phải tỷ lệ và có thể đảo ngược. Giả định các dương tính giả có thể xảy ra. Ưu tiên các hành động bạn có thể quay lại, chẳng hạn như đình chỉ tạm thời hoặc loại bỏ tài nguyên, hơn là cấm vĩnh viễn.
- Thiết kế > phát hiện. An ninh chính của bạn đến từ việc xác thực mạnh mẽ và giới hạn tốc độ (được đề cập trong Bảo vệ ranh giới client-server và các phần khác). Các phương pháp phát hiện dưới đây là bổ sung cho những bảo vệ đó, không thay thế chúng.
Heuristic
Heuristics là các kiểm tra hành vi đánh dấu những hành động về mặt kỹ thuật là có thể nhưng cực kỳ không thể xảy ra đối với một người chơi hợp lệ. Chúng là "quy tắc thực tiễn" để phát hiện hoạt động nghi ngờ có thể vượt qua xác thực cơ bản. Một heuristics hiệu quả so sánh hành động của một người chơi với một giới hạn tối đa lý thuyết hoặc một dấu mốc hợp lý.
Ví dụ, nếu một người chơi đột nhiên tuyên bố đã kiếm được 1 tỷ đồng trong trò chơi mô phỏng của bạn, xác thực từ xa của bạn có thể xác nhận yêu cầu được cấu trúc đúng. Nhưng một kiểm tra heuristic trên máy chủ sẽ biết rằng kiếm nhiều như vậy sẽ mất vài tuần, chứ không phải vài giây, và đánh dấu giao dịch đó là đáng nghi.
Dưới đây là ba ví dụ cổ điển về heuristics trên máy chủ. Mỗi ví dụ xác thực hành vi của người chơi so với các quy tắc và giới hạn vật lý của trải nghiệm, tạo ra một hàng rào bảo vệ mạnh mẽ chống lại các cuộc khai thác phổ biến.
| Heuristic trên máy chủ | Mô tả | Ví dụ |
|---|---|---|
| Thời gian hoàn thành nhanh nhất | Tính toán thời gian nhanh nhất lý thuyết có thể để hoàn thành một nhiệm vụ, chẳng hạn như một khóa học chướng ngại vật. Điều này yêu cầu tìm đường đi tối ưu và giả định tốc độ tối đa của người chơi. | Trong một trò chơi obby, nếu kỷ lục thế giới là 30 giây, thời gian hoàn thành 5 giây là tín hiệu mạnh về việc sử dụng dịch chuyển hoặc khai thác tốc độ. |
| Tốc độ kiếm | Theo dõi tỷ lệ tối đa hợp lệ mà một người chơi có thể kiếm được một tài nguyên (tiền tệ, kinh nghiệm, vật phẩm). | Nếu một người chơi có thể hợp lệ kiếm 100 đồng mỗi phút, một khoản kiếm đột nhiên 10.000 đồng trong một giây nên được đánh dấu. |
| Nhịp điệu hành động | Máy chủ phân tích khoảng thời gian giữa các hành động lặp đi lặp lại của một người chơi. Các đầu vào của con người có sự biến thiên nhỏ tự nhiên về thời gian, trong khi các kịch bản tự động đơn giản (như auto-clickers) thường thực hiện các hành động với sự nhất quán như robot. | Trong một trò chơi mini đánh cá, một người chơi nhấp để thả cần câu của họ. Máy chủ ghi lại thời gian của mỗi lần thả. Nếu người chơi thả cần câu 100 lần liên tiếp với cùng một khoảng thời gian chính xác (ví dụ: chính xác 2.500 giây) giữa mỗi hành động, đó là một chỉ số mạnh mẽ về việc sử dụng macro hoặc bot. Thời gian của con người sẽ tự nhiên dao động. |
Một trong những ví dụ này có thể không đủ để kết tội một kẻ gian lận. Mỗi ví dụ nên được coi là một tín hiệu, không phải là bằng chứng xác thực. Một thực tiễn tốt là triển khai một điểm nghi ngờ. Khi một người chơi không qua được kiểm tra heuristic, bạn sẽ tăng điểm của họ. Các hành động nghiêm trọng như đá hoặc cấm chỉ nên xảy ra sau khi nhiều phát hiện đa dạng đã đẩy điểm của người chơi vượt qua một ngưỡng cao.
Ví dụ, giả sử một người chơi kỳ cựu hoàn thành trò chơi obby của bạn với thời gian kỷ lục, kích hoạt heuristic "Thời gian hoàn thành nhanh nhất" của bạn. Họ có nên bị cấm không? Có thể họ đang khai thác, nhưng cũng có thể họ đã phát hiện một con đường tắt hợp lệ nhưng không chủ ý. Cấm họ dựa trên tín hiệu duy nhất này sẽ rất rủi ro và có thể trừng phạt một trong những người chơi tận tâm nhất của bạn.
Tuy nhiên, nếu lượt chơi của cùng một người chơi đó cũng đã kích hoạt heuristic "Nhịp điệu hành động" vì các đầu vào nhất quán không giống con người, và một giờ sau họ kích hoạt heuristic "Tốc độ kiếm" trong sảnh của bạn, trường hợp trở nên mạnh mẽ hơn nhiều. Sự kết hợp của những tín hiệu khác nhau này vẽ nên một bức tranh đáng tin cậy hơn về việc gian lận. Sức mạnh của hệ thống này nằm trong việc tương quan nhiều điểm dữ liệu để xây dựng một trường hợp tự tin trước khi thực hiện hành động.
Honeypots
Một cách để phát hiện những kẻ gian lận đang cố gắng kiểm tra RemoteEvents trong trải nghiệm của bạn là sử dụng một mồi nhử gọi là honeypot. Một honeypot là một RemoteEvent hoặc RemoteFunction dường như hợp lệ đối với một kẻ khai thác nhưng không bao giờ được sử dụng bởi bất kỳ kịch bản hợp lệ nào của bạn. Vì không người chơi bình thường nào nên có thể kích hoạt remote này, bất kỳ lưu lượng nào mà nó nhận được đều phải đến từ một kẻ khai thác. Khi máy chủ phát hiện remote này bị kích hoạt, đó là một tín hiệu có độ tin cậy rất cao rằng client đang can thiệp. Hành động ngay lập tức tốt nhất là ghi lại sự cố này và đá người chơi khỏi phiên chơi.
Một biến thể khác là thiết kế RemoteEvents với các mục đích cụ thể - một số chỉ dành cho giao tiếp client → server và những cái khác chỉ dành cho giao tiếp server → client. Trong khi tên sự kiện không tiết lộ hướng dự định của chúng, máy chủ theo dõi hướng mà mỗi remote nên được sử dụng. Nếu một kẻ khai thác cố gắng kích hoạt một remote server → client từ client, đây sẽ là một phương pháp phát hiện đáng tin cậy vì việc chơi hợp lệ sẽ không bao giờ kích hoạt giao tiếp theo hướng sai.
Áp dụng hậu quả
Khi các hệ thống phát hiện đánh dấu hành vi đáng ngờ, hãy xem xét chiến lược phản ứng của bạn cẩn thận. Các trải nghiệm khác nhau yêu cầu các phương pháp tiếp cận khác nhau dựa trên cộng đồng của chúng, độ stake cạnh tranh, và sự khoan dung cho sự gián đoạn.
Thang độ hậu quả - Hầu hết các trải nghiệm đều hưởng lợi từ các phản ứng leo thang thay vì nhảy thẳng đến cấm vĩnh viễn:
- Ghi lặng lẽ - Xây dựng bằng chứng mà không ảnh hưởng đến người chơi
- Giảm thiểu lặng lẽ - Chặn tác động của cuộc khai thác (hủy các yêu cầu, điều chỉnh giá trị, đồng bộ trạng thái chính xác)
- Giới hạn tạm thời - Giới hạn các khả năng cụ thể (thương mại, bảng xếp hạng, ghép cặp)
- Thực thi hiển thị - Đá, đình chỉ tạm thời hoặc cấm vĩnh viễn
Các cân nhắc cho chiến lược của bạn
- Tạm hoãn hậu quả hiển thị để tránh dạy cho kẻ khai thác chính xác điều gì đã kích hoạt phát hiện
- Phù hợp mức độ nghiêm trọng với phản ứng - các cuộc khai thác kinh tế nhỏ có thể yêu cầu sự xử lý khác với các gian lận gây phá hủy trò chơi
- Xem xét cộng đồng của bạn - các trải nghiệm cạnh tranh có thể cần thực thi nghiêm ngặt hơn so với các trải nghiệm bình thường
- Lên kế hoạch cho những sai lầm - ưu tiên các hành động có thể đảo ngược khi sự tự tin trong phát hiện thấp hơn
Đối với những kẻ vi phạm tái diễn, hãy xem xét việc sử dụng Ban API thay vì chỉ dựa vào việc đá. Ban API ngăn chặn những người chơi bị cấm tham gia lại và cung cấp khả năng theo dõi tốt hơn trên toàn vũ trụ của bạn. Phiên bản các quy tắc phát hiện của bạn và theo dõi tỷ lệ hậu quả để bạn có thể xác định các hệ thống có vấn đề. Giám sát phản hồi của người chơi để biết liệu việc thực thi của bạn có cảm thấy công bằng với cộng đồng không. Sự cân bằng phù hợp hoàn toàn phụ thuộc vào nhu cầu của trải nghiệm của bạn và kỳ vọng của người chơi.