암호화를 안하면..
해킹당할 여지가 많습니다.
클라이언트 마다 랜덤하게 키를 줘서 암호화 하는 울온도
이미 해킹서버가 나와있지요.
바람의 나라 해킹서버도 나왔다는 소문(?)을 들었습니다.
그리고 해킹서버외에도 여러가지 해킹툴이 난무하게 되지요.
예를 들면 울온에서 던전에 들어가면 던전안을 환히 비쳐주는
툴이라던가. 아니면 서버쪽에 패킷을 계속보내 다운시키는
프로그램이라든가. 특정 유저에게 Say를 계속 보내서 혼란을 준다던가
물론 공부를 위해서 짠다면 모르겠지만 상용화를 목적으로 하고 있다면
암호화에 신경 쓰셔야 합니다.
네트웍이기 때문에 그대로 모든 내용을 보여준다면 그대로 분석되어
어떤 짓에 사용될지 모르지요.
패킷만 분석된다면 머그에 인공지능으로 자기 혼자 돌아다니면서
몬스터 때려잡는 프로그램만드는건 식은죽 먹기니까요.
그렇게 되면 공정성이 떨어지게 되고. 그 게임은 실패한 게임이 됩니다.
머드에서 해킹툴 사용하는것 같은 유저는 그대로 퇴장인것도 마찬가지
이유겠지요.
그래야 그만큼 서버에서의 위험부담도 줄어들게 되지요.
fROM PSYCHO
PS 근데 암호화 방식을 무었으로 할까가 굉장히 고민되네요.
싸이즈를 늘리지 않으면서 빠르게 암축하고 풀수있어야
하는데.. ^^;
치터들로 부터 게임을 보호하는것은 매우 중요한 일이죠...
치터는 아니지만 머드의 레벨업 노가다를 스크립트로 몇일 돌려서 쉽게 고레벨로
올라가는 놈덜 보면 진짜 노가다 하는 사람으로선 겜 할맛 안나죠... --;
kill mob 같은 자동반응메크로 같은 경우 초보가 상대할 mob까지 싹슬이
해버리는... --; 초저레벨로 그놈을 pk할수도 없고... --;
그외 몇몇 온라인겜에서 치터들이 겜 망치는 경우를 몇번 봐 왔네요...
데이타 암호화 같은경우... DES까지는 안쓰더라도 능동적으로 키가 바뀐다면
(암호화된 이전 블럭의 암호화 중간값를 다음 블럭의 키로 사용하는 경우,
DES변종(?)들 중에 중간값을 어떤것을 사용할지에 따라 여러가지가 나와있더군요.)
암호화 루틴이 조금 허접해도 페켓 스누핑으로부터는 충분히 보호할수 있을것
갈네요.
로그인하고 초기 키값은 MD5-Digest로 확인하면 될꺼구요...
그래도 어짜피 암호를 깰 놈들은 리버스 엔지니어링해서 다 깨버리겠죠. ^^
(md5-digest쓰는것이 리버스 엔지니어링 해도 소용 없는거 아니였던가...?
오랫만에 암호화에 대해 생각하니까 했갈리네요... ^^ )
그나져나 워버드 해킹서버는 안나오나... 글고보니 치터도 없었네....
별명이 치터인 초고수가 있긴 했었지만... ^^
-- 화수.
안녕하세요. 가이입니다.
ICQ 와 비슷한 메세지 프로그램을
제작하려고 테스팅을
하였습니다.
제대로 동작도 하고 잘 진행되던것이..
어라..
프록시, 방화벽 때문에 막혔습니다.
ICQ 에서도 방화벽, 프록시 서버가
있다면 어찌 셋팅해서
사용하면 된다고 하고...
하여간에 원격지에서 방화벽,
프록시 서버를 통하여
메세지 전송 서버에 도달하는
방법을 모르겠습니다.
혹시 자료를 가지고 계신분이나
비슷한 자료를
보았으면 연락바랍니다.
아니면 개략적인 설명도 괜찮습니다.
그럼. 좋은 프로그램 많이 만드세요.
저두 정확하게 구현은 안해봤지만,그래두 도움이 될까하고 적어봅니다.
(도움이 안되셔도 구박은 하지 말아주세여^^)
SOCKS 라는 프로토콜이 있습니다.(프락시 서버랑 통신하기위한 프로토콜
일겁니다..아마도)
또는 HTTP 을 이용해도 되겠지요...킵얼라이브 특성이 있으니까...
프락시 같은 경우는 문제가 심각하지 않겠지만, 방화벽같은경우에야
어떤식으로 봉쇄 했냐에 따라서 많이 틀리기때문에,,,
그리고,,편법으로는 잘알려진(웹포트80,8080)이나 텔넷포트를
프로그램이 이용하는 포트로 사용하시는 방법도 있을겁니다.
하여간,,일반적인 직접 통신은 안될것이고,, 프로토콜에 데이터를 얹어서
사용하는 ..이런걸 터널링이라고 하던가요...
그런식으로 해야하는건 맞는것 같습니다...
아,,쓰다보니,,무지함을 느끼네여..
도움이 되셨음...
음 예를 들어 비밀번호를 말씀해 주셨는데요. 암호화를 한다고 해도
암호화된 패킷을 가로채 그 패킷을 보낸다면 어짜피 뚫릴텐데..
음 전 암호화에 대한 지식이 별로 없어서 어떻게 하시는지는
모르겠지만
조언 부탁드립니다.
-비엽
ps. 아래아래 글에 제가 올린 질문은... 암호화에 대한
질문이 아니라
program flow 에 대한 질문이었는데.
내글 말고 원래 글 하나가
더 있었다 지워졌나 -.-
암호화된 패킷을 가로채 더라도 그 패킷 자체를 해석할 수 없다면
그건 못쓰는 거죠..
패킷을 중간에 가로채서 다시 보내는건 어떤 암호화 방법이라도 막지 못하죠
^^;
하지만 패킷 자체가 암호화 되었다면 그 패킷이 암호라는 것은 어떻게 알수
있을까요?
온라인 게임에서는 보통의 복잡한 암호화 알고리즘을 사용 하진 않습니다.
(보통 복잡한 암호화 알고리즘에서 키 하나 생성하는데 몇분씩 걸리죠.)
메일이나 웹의 SSL같은데서 쓰는 암호화는 사용 하지 않죠..
(물론 유저의 패스워드를 암호화 하기 위해선 사용합니다.)
울온의 경우도 간단하게 자체적으로 만든 암호화 알고리즘을 사용합니다.
실시간으로 처리하기 위해선 정말 간단해야겠지요.. 그러면서도
파악하기 힘든.. ^^;
안녕하세요?
일단 제 소개부터 해야겠네요...
저는 손동희라구 합니다...
저 역시 MUG게임 서버를 개발 중이고요...
이제 시작했지만... 헤...
이 아이디는 우리 팀장님겁니다...
여기서 토론되고 있는 내용이 굉장히 저에게 도움이 많이 되고 있습니다...
그리고 저도 참가해보면 좋겠다고 생각해서 글을 올립니다...
(실력이 안되기 때매 참가라기 보다는 도움을 받는 거겠죠... 하...--;)
암호화에 관한 의견은 경만님(맞죠?)의 의견에 동감합니다...
암호화 되지 않는 패킷은 불순한 목적을 가진...
네트웍 감시자들에게는 좋은 먹이감일테니까요...
하지만, 암호화에 대한 오버로드가 상당히 크죠...
제대로된 암호화를 하려면 그것만을 위해서
하나의 서버를 할당해도 모자라겠죠...
아예 하드웨어적으로 해결하면 모를까...
보통 암호화에 대한 기본적인 룰(?) 중 하나가...
가볍게 여러번 이거든요....
즉, 복잡한 알고리즘 하나보다는...
간단한 알고리즘을 여러번 거치는 게 훨씬 효율적이죠...
그게 랜덤하게 겹쳐진다면 더 할나위 없겠죠...
저같은 경우도 서버개발에 앞서...
프로토콜을 디자인하면서 인/디코딩을 먼저 디장인 해야만했고...
안정성을 검증하는데두 꽤 많은 시간을 투자했습니다...
무엇보다도 상용서비스가 시작되면 그때부터는 돈이 걸린 문제니까요...
그런데 하나 의문이 생기는 군요...
암호화가 아무리 로드가 많이 걸린다고 할지라도...
내부 네트웍을 돌아다니는데 걸리는 로드가 더 클거라고 예상합니다...
솔직히 자신할 수는 없지만...
경만님의 말씀대로 내부 네트웍에 스위칭허브 같은 것을 쓴다면...
하드에서 읽어오는 속도보다 빠르기는 하겠지만...
O/S를 통해서 네트웍 I/O가 일어나는 것을 두번씩 거친다는 것은...
그만큼 속도에 대한 손해가 있지 않을까요...
물론, 그만큼 안정성을 보장할 수는 있다고 봅니다...
(저도 요즘 이 문제로 골치가 아프거든요...)
어떻게 생각하시는지 의견을 듣고 싶습니다...
초면에 아는 것도 없으면서 끼어들어서 죄송하네요...
자주 뵈었으면 좋겠네요.... 김주관
(누피 )
안녕하세요 이경만 입니다.
저도 아는것은 별로 없습니다..
그냥 제가 구현한것과 다른 서버들을 분석한 것들로만
말하는 거구요 ^^;
저희 서버팀의 기본적인 방법은 가볍게 암호화를 해주면서 키를 자주 바꿔
준다는거죠.
물론 암호화를 여러번 해주는것도 좋은 방법이겠죠.
여러번 해주면서 키를 계속 바꿔준다면 더좋겠지만 ^^;
해커가 암호화의 키를 고생해서 알아냈다고 해도 알나낸 키가 유저 마다 다르고
시간마다 다르다면 패킷을 아무리 분석해 봐도 소용이 없겠죠..
아직 구현을 더 해봐야겠죠..
내부 서버간의 통신으로 인한 네트웍 지연은 거의 문제가 되지 않습니다.
물론 게임의 설계나 여러가지 요인들이 맞아 떨어져야겠지만요.
외부네트웍의 지연에 비해 상당히 적은 시간이기 때문이고요.
그리고 사용자의 반응 그리고 게임자체의 반응등이 훨씬 더 느리기 때문에
문제가 안되는 거죠.. (베타 테스트 후에 이 문제에 대해 데이터가 나오는
데로 말씀 드리죠.)
사실 온라인 게임에서 가장 큰 문제는 모뎀 사용자들의 네트웍 지연 문제죠..
모뎀 하나의 지연속도는 대략 40~60미리 초 라는데.. 사용자의 모뎀 - ISP업체의
모뎀 이라고 하면 한명의 유저에게는 80~120미리 초의 지연이 생기게 됩니다.
(항상 평균적으로)
거기다가 받는것도 지연시간이 걸리므로 클라이언트가 하나의 쿼리를 보내고
다시 값을 받는 시간이 160~240 미리초.. 넉넉 잡아서 0.3초 정도 걸리죠.
이건 아주 좋은 상황이고. 회선 불량이나 랙등으로 네트웍 상태가 나쁘다면..
엄청나겠죠.. ^^;
그래서 네트웍 게임 서버를 테스트할때는 모뎀을 위주로 테스트 하십시요..
(앗 다아는 예기였나요?)
그럼..
안녕하세여 최인호입니다..
암호화에 대해 생각을 좀 해봤는데..
어떻게 해야 할지 좀 막막하군요..
워낙 지식이 짧다보니깐...
음... Cryptography API를 써볼까 하는데..
사실 아직 써본 경험이 없어서 얼마만큼의 암호화
안정성과 로드를 잡아 먹는지 모르겠군요.
좀더 많이 읽어 보고.. 생각해보구..
테스트해봐야 겠지요..
뭐 간단한 문자열 조작은 몇 가지 생각을 해봤는데..
글쎄.. 뭐라 말씀드리긴 그렇구..
흠냐... 머리 아프군요..
첨엔 암호화는 나중으로 미룰려고 그랬는데..
지금 아니면 나중에 하긴 또 애매할 거 같구..
벌써부터 해커와 싸울 생각하면 답답하군요...--;
저도 나름대로 해킹은 할 줄 알지만.
(이런 얘기해두 되나?)
하여간 위의 api 써 보신분 있으시면 참고할 만한
얘기 좀 들려주세요~~
그럼 이만.
암호화 같은것도 해킹 등을 막을 수 있는 좋은 방법입니다. 하지만, 그게
전부는
아니라고 봅니다.
보통의 게임 네트워크 프로토콜은 다음과 같은 계층으로 구별되어 있습니다.
1.게임 내용물에 대한 프로토콜
2.암호화 등 게임 보안에 대한 프로토콜
3.TCP 이하 인터넷 네트워크 계층..
1이 가장 높은 레벨이고 4가 가장 낮은 레벨입니다. 게임 스펙에서의 암호화는
주로 2에 대한 보안 처리에 해당할텐데, 문제는 해커들은 2만 건드리는게 아니라
1,2,3 모두 건드린다는 데 있습니다.
3에 대한 보안책에 대해서는 아직 저도 경험해본 적이 없어서 얼마나 큰 여파가
있는지는 모르겠지만, 소문에 의하면 게임 서버가 돌아가는 운영체제 전체를
───────────────────────────────────────
셧다운시켜버릴수도 있다고 합니다. 이 부분에 대해서는 여기의 다른 분들께도
여쭤보고 싶네요..해결책 등을요..
2는 이미 많은 분들이 답변해주셨고..저는 1에 대해 언급을 해보겠습니다.
특별한
가방끈(암호학이나 정수론)을 요구하는 것도 아니고, 제법 재미있는(?)
구석이니까요.
1에 대한 보안은 어떻게 하느냐? 제가 아는건, 간단하게 말해서, "서버에서
게임을 주도하되, 클라이언트의 명령에 대해 정당성을 검토한다"입니다.
즉, 어떤
클라이언트에서 메시지를 보내면 그걸 무작정 수행하는게 아니라 그게 정당한
것인지를 검토한 다음 처리를 하는겁니다.
예를 들어보죠. 어떤 사람이 PK를 즐긴다고 칩시다. 보아하니 한국에 아주
재밌는
온라인 게임이 있는데, 거기서 최고의 PK가 되어보고 싶은 흉계를 저지르고
싶어졌습니다. 이놈은 우선 그 게임을 해보고, 프로토콜을 분석했습니다. 암호를
깨고.. 그런데, 이런 내용의 포맷을 발견했습니다.
클라이언트->서버 메시지. "상대방을 쳐서 그 자의 체력을 n으로 만들었다"
서버에서는 이 메시지에 대한 정당성을 검토하지 않는다.
서버->클라이언트 메시지. "상대방이 쳐서 자네의 체력을 n으로 만들었다"
어떨까요? 이놈은 흉계를 시작하고 얼마 못가 그 게임은 많은 플레이어의
떼죽음으로 아비규환이 될겁니다. 더 운이 없는 놈이 이 짓을 한다면, 단
몇분만에 모든 플레이어를 죽일 수 있을겁니다.
그런데, 이렇게 되었다고 가정해보죠.
클라이언트->서버 메시지. "상대방을 내가 갖고 있는 칼 n로 쳤다."
서버에서는 이 메시지에 대한 정당성(1초에 몇번 친 것인가, 그 칼을 그
클라이언트가 갖고 있는가, 능력치의 증가율이 정상적인가 등)을 검토한 다음
맞으면 그 메시지에 대한 처리를 하고 그렇지 않으면 무시한다.
서버->클라이언트 메시지. "상대방이 갖고 있는 칼 n으로 날 쳤다."
..그 PK는 자신의 명성을 날리기 위해서는 꽤나 고생을 할겁니다. 왜냐하면,
서버에서 뭔가 비정상적인 플레이를 발견했으테니, 그것에 대한 응징을
할테니까요.
그런데, 실제로는 PK가 그렇게 호락호락하지는 않습니다. 그 한개의 포맷 뿐만
아니라, 게임 전체에 쓰고 있는 포맷을 가능한 많이 알아낸 다음 그 '정당성을
검토하는 부분'의 헛점을 일단 발견하면, 그걸로 들쑤셔대기 때문이죠. 울티마
온라인 마저도 한때는 로드브리티쉬가 암살될 정도였다니까, 만만한게 아니겠죠?
이걸 만족하려면, 꼼꼼한 기획과 꼼꼼한 프로그래밍이 필요합니다. 그렇기에,
게임에서의 보안은, 어떤 특별한 기술이나 솔루션보다는 게임제작에 항상
물리기도 하는 문제라고 봅니다.
현직님께서 말씀하신 운영체제 자체를 셧다운할 수도 있다는 것은
백 오피리스인가 백오리피스인가 하는 류의 것을 말씀하시는 건가요?
제 생각에는 서버의 포트 중에서 게임에 관한 포트를 제외하고
다른 포트를 막아버리면 별 문제는 없을 것 같은데요..
물론 포트를 막는 것에는 신중을 기해야 하겠지만서도요..
게임 포트로만 접속이 이루어진다면, 그 포트로 들어오는 모든 데이터
패킷을 서버 프로그램이 받을 거고.. 서버 프로그램에서는 지정된
메시지 타입인가... 그리고, 값이 정상적인가를 판별한 후,
만약 정상적이지 않다면, 그 클라이언트를 그냥 죽여버리면 되지 않을까..
제 생각에는 별 이상이 없을 듯 한데요..
물론 생각하지 못한 부분이 있겠지만요....
저도 솔직히 이해가 안갑니다. 예전에 인터넷에서 한 해킹을 자랑하던 꼬마의
짓이라는데, 미리 5분전에 그 게임을 돌리는 데에다 이런 연락을 했다나요?
"5분뒤 니네 게임서버 맛가게 할테니 알아서 잘 해보시라"
..그리고 5분뒤 게임서버가 종료되었다나요? 그런데 그걸 다시 켜려니까 켜지는
즉시 다시 꺼지는 상황이 발생했다고 합니다. 하지만, 그 문제는 지금
해결되었으니까 잘
돌아가고 있겠죠.
제가 아래에 쓴 글에 있는 3번 레벨에 대한 해킹 방법은, 이미 언급했지만,
저도
잘 모릅니다. 예를 들어, 라우터 어택이라는건 말만 들었지 어떻게 하는지는
저도
모르죠.
제가 짐작하기에는..아마도 운영체제 셧다운이라는건 운영체제를 컨트롤하는
프로토콜, 예를 들어, rlogin같은걸 침투한게 아닌가 싶습니다.