security - 如何防止虚假高分出现在全局高分榜上？

Question

假设您正在设计一款记录高分的 PC 游戏。除了保持本地分数外，还设置了一个全局高分服务器，游戏可以通过互联网访问该服务器。玩家应该能够在完成游戏后立即将他们的高分提交到全局高分列表，或者稍后从本地高分列表中提交。这一定是一个普遍的问题；现代游戏机上的街机游戏通常具有这样的全局高分列表。

我的问题归结为:你怎么能防止有人提交虚假的高分？ 或者，换种说法，全局高分服务器如何确定提交的分数真的是通过游戏运行产生的？

我越想这个，就越觉得这可能是一个无法解决的问题。

验证消息是否来自某个来源的通常做法是让来源对消息进行数字签名。在这种情况下，您当然可以这样做，但真正的问题是玩家通过拥有该软件，也拥有该软件的私钥。无论它多么困惑，它都可以被逆向工程，甚至只是从内存中提取。

另一种选择是将玩家游戏的重播发送到高分服务器，该服务器将快速运行重播并验证提交的分数是否与重播的结果相匹配。这并不能解决问题，但如果您还必须制作一个非常复杂的回放来“证明”它，那么它肯定会使伪造高分变得更加困难。

这是一个有解决方案的问题，还是真的无法解决？家用游戏机开发人员是否使用了一些技术来防止这种漏洞利用，或者他们是否仅仅依靠控制台来防止未经授权的代码运行？

Answer 1

据我所知，这是无法解决的。

我见过很多人试图混淆加密 key 。我见过一些人包括其他健全性检查，例如耗时或剩余的敌人。我从未见过发送重播的人，尽管这当然是可能的。

在一个未命名的网站中，他们设置了一个很容易找到的虚假发送高分例程。如果犯罪者使用它，他们的 IP 地址将被自动禁止将来更新。