Баг Steam позволял получить доступ к CD-ключам любой игры

Баг Steam позволял получить доступ к CD-ключам любой игры

Украинский исследователь уязвимостей обнаружил в Steam баг, который позволил ему скачивать ключи активации игр для любой игры на платформе.

Баг был обнаружен Артемом Московским и находился в Steamworks — платформы Valve для разработчиков игр. Уязвимость находилась в web API по ссылке "partner.steamgames.com/partnercdkeys/assignkeys/". Это API позволяет любому разработчику или партнеру получать CD-ключи для активации игр через клиент Steam. 

Доступ к API открыт даже с обычным аккаунтом Steam и включает лишь несколько параметров. В частности appid [идентификатор игры], keyid [идентификатор набора ключей] и keycount [число ключей, которые Steam должен предоставить в наборе].

По словам Артема в обычных условиях при попытке запросить ключи для игр, которых у него нет, Steam API выдает ошибку — это и должно происходить. Однако если установить настроки keycount на ноль, то это позволяет обойти ограничения API и выдает файл с ключами к любой игре, даже если пользователь не должен иметь к ним доступ.

Во время тестироваия Артему удалось сгенерировать и скачать более 36 тысяч ключей для Portal 2. Гипотетически злоумышленники могли бы скачивать все ключи всех игр Steam, так как подобрать параметры не сложно.

Артем сообщил Valve о баге еще в августе, так что компания закрыла уязвимость в течение пары дней. Не ясно, обнаружил ли баг кто-то еще, но Артем получил вознаграждение в $20 тысяч за столь важную находку. До этого он уже получал $25 тысяч от Valve за обнаружение SQL-уязвимости в том же Steamworks.

16 Комментариев

  • Эх Артем такой бизнес потерял, можно было бы создать свой сайт и продавать ворованные ключи от игр, хотя вознаграждение в $20 тысяч тоже неплохо.

    22
  • Суровый баг, но Габен вполне гуд отплатил.

    28
  • Артем молодец, живет честно, а не как многие паразиты за счет предков

    4
  • А тем временем еврей Артём поступил бы иначе: он сообщил бы Valve о баге, получил $20 тысяч, потом открыл сайт по продаже ключей, которые предварительно сохранил, заработал бы на ключах, сообщил бы Valve о сайте по продаже краденных ключей и предложил бы закрыть сайт за вознаграждение.

    20
  • @OptikaL, в отличие от вас, судя по всему, Артем - честный человек, которому его репутация важнее относительно небольшой суммы.

    7
  • @Kane, В отличии от меня? А вы имеете представление кто я и как бы поступаю я? Если вы не поняли иронии, мне вас жаль. А в честности Артёма никто и не сомневается, все и так написано в новости.

    20
  • @OptikaL, это не я написал про некоего евремя Артема - вы. Значит вам в голову все это пришло - не мне. Я о вас имею представление исключительно на основе того что вы пишите. Если вы пишите про евреев-Артемов и того как они бы поступили, соответсвенно о вас и думаю.

    0
  • @Kane, Специально для вас:

    Ирония (от др.-греч. εἰρωνεία «притворство») — сатирический приём, в котором истинный смысл скрыт или противоречит (противопоставляется) явному смыслу. Ирония должна создавать ощущение, что предмет обсуждения не таков, каким он кажется. Ирония может выражаться и письменно, но тогда слова берутся в кавычки.

    Ладно, ладно, кавычки не поставил. Признаюсь, мой косяк)
    Более детально ознакомиться с историей зарождения саркастического приёма и её формами можно перейдя по ссылке клац.

    4
  • @OptikaL,

    истинный смысл скрыт или противоречит (противопоставляется) явному смысл

    Подкрепите ваши слова - что за смысл в вашем оригинальном комментарии? Не похоже, что вы понимаете как ирония применяется.

    Серьезно, вот где тут ирония: "А тем временем еврей Артём поступил бы иначе: он сообщил бы Valve о баге, получил $20 тысяч, потом открыл сайт по продаже ключей, которые предварительно сохранил, заработал бы на ключах, сообщил бы Valve о сайте по продаже краденных ключей и предложил бы закрыть сайт за вознаграждение."? Потому что я лично не вижу какой скрытый смысл этим вы хотите передать. И уж точно нет ничего противоречивого.

    -3
  • @InSkate, отследилось бы и скорей всего копии бы отозвали у игроков) А Артемка на 20к долларов не успел бы навариться (как я думаю).

    0
  • @Kane, скрытый смысл в том, что если бы он не был порядочным и поступил бы иначе, то всё могло бы сложиться совсем по-другому. Но вам ведь нужно обязательно докопаться и сразу понять что это была шутка, трудно, правда?

    2
  • @GoRoX98, мало того, что он не успел бы навариться, так ещё бы Valve подала бы на него в суд и заставила выплатить огромный штраф

    0
  • @OptikaL,

    скрытый смысл в том

    Вы, кажется, не в курсе что значит слово "скрытый". Потому что ничего скрытого в вашем комментарии нет. Ваш комментарий - это банальная зарисовка "а что бы". Если вы думаете что вы передаете какой-то смысл, вы заблуждаетесь.

    -3
  • @Kane, вы оба не правы многоуважаемый ) просто флуд) @OptikaL, и вы тоже, вы просто развели спор который как в проплаченом суде будет за ранее проигран, я вам по опыту говорю)

    1
  • @PromoLock, Давай говори нам как ты халяву не любишь

    0
  • @Slaverok, согласен, оправдываться за преступление в котором не принимал участие, уже выглядит как соучастие)

    0
Войдите на сайт чтобы оставлять комментарии.