Dlaczego web-captcha MineGuard nie daje się rozwiązać automatycznie przez boty

Jak boty atakują serwery Minecraft: captcha jako ostatnia linia obrony

Ataki botów na serwery Minecraft stały się prawdziwą epidemią. Atakujący używają specjalistycznych programów, które podłączają do serwera setki albo tysiące fałszywych graczy jednocześnie. Cel jest prosty: przeciążyć serwer, zepsuć doświadczenie growe prawdziwym graczom i wyrządzić maksymalną szkodę. My w MineGuardzie codziennie widzimy ataki, gdzie na jeden serwer lecą fale 500-2000 botów w ciągu kilku minut.

Wielu administratorów stawia captchę jako sposób na odróżnienie żywego gracza od bota. Pomysł słuszny, ale realizacja przez wewnątrzgrowe pluginy ma fundamentalny problem. Rozbijmy to.

Jeśli chcesz dowiedzieć się więcej o samych atakach botów i sposobach ochrony, pisaliśmy już o tym w osobnym artykule o atakach botów. A ogólne zasady ochrony captcha opisane w naszym materiale o captchy dla Minecrafta.

Captcha minecraft boty: dlaczego wewnątrzgrowe rozwiązania nie działają

Pluginy z wpisywaniem tekstu na czacie

Najbardziej rozpowszechniony typ wewnątrzgrowej captchy: graczowi pokazują kod na czacie i proszą go wpisać z powrotem. Na przykład: "Wpisz 7X3K2 aby kontynuować". Brzmi logicznie, ale dla bota to trywialne zadanie. Bot-klient dla Minecrafta dostaje wszystkie wiadomości czatu jako zwykły tekst. Program parsuje wiadomość, znajduje kod po wzorcu i wysyła go z powrotem. Cały proces zajmuje milisekundy.

Deweloperzy bot-klientów dawno dodali moduły do automatycznego przechodzenia takich captch. Wystarczy skonfigurować wyrażenie regularne do szukania kodu w wiadomości, a bot przechodzi test szybciej niż żywy gracz.

Captcha z kliknięciem w przedmiot albo tabliczkę

Bardziej zaawansowane pluginy umieszczają gracza w pokoju z tabliczkami albo przedmiotami i proszą kliknąć w prawidłową. To trudniejsze do obejścia, ale wciąż nie stanowi poważnej przeszkody. Protokół Minecrafta jest w pełni otwarty i udokumentowany. Bot potrafi "widzieć" wszystkie bloki wokół siebie, czytać tekst na tabliczkach i imitować kliknięcia w określone współrzędne. Nowoczesne frameworki botowe w rodzaju Mineflayer dają wygodne API do interakcji ze światem gry.

Zadania matematyczne i zagadki

Niektóre pluginy proponują rozwiązać zadanie matematyczne albo odpowiedzieć na pytanie. Ale każde zadanie, które da się opisać tekstem na czacie Minecrafta, może zostać rozwiązane przez program. Matematykę komputery rozwiązują dużo lepiej od ludzi, a bazy odpowiedzi na typowe pytania tworzy się w minuty.

Korzeń problemu wszystkich wewnątrzgrowych captch jest jeden: bot działa w tym samym środowisku co plugin. Bot dostaje te same dane i może wysyłać te same odpowiedzi. Żadnej zasadniczej bariery między botem a sprawdzeniem nie ma.

Jak działa web-captcha MineGuard

My w MineGuardzie poszliśmy zasadniczo inną drogą. Zamiast sprawdzać gracza wewnątrz Minecrafta, przenosimy sprawdzenie do zupełnie innego środowiska - do przeglądarki web.

Proces wygląda tak:

• Nowy gracz łączy się z chronionym serwerem przez MineGuard
• Zamiast normalnego wejścia do gry dostaje wiadomość na czacie z unikalnym linkiem
• Gracz otwiera link w przeglądarce na telefonie albo komputerze
• W przeglądarce przechodzi standardową web-captchę
• Po udanym przejściu gracz automatycznie dostaje dostęp do serwera

To podejście tworzy barierę zupełnie innego poziomu. Minecraft-bot to program, który komunikuje się protokołem Minecrafta. Potrafi łączyć się z serwerami, wysyłać pakiety, imitować akcje gracza. Ale nie jest przeglądarką web. Nie ma silnika renderowania HTML, nie ma środowiska JavaScript, nie ma możliwości wykonywania złożonych zadań, które stawiają przed użytkownikiem nowoczesne captchy.

Minecraft captcha bypass: dlaczego web-captchy nie da się obejść programowo

Bariera technologiczna

Nowoczesne web-captchy używają dziesiątek sygnałów do określenia, czy gość jest człowiekiem. Ruch myszki, wzorce naciskania klawiszy, czas reakcji, charakterystyki przeglądarki, reputacja IP, historia cookies i wiele więcej. Żeby przejść taką captchę automatycznie, trzeba odpalić pełnoprawną przeglądarkę w trybie headless, ale nawet to jest wykrywane przez nowoczesne systemy ochrony.

Dla bota Minecrafta oznacza to, co następuje: oprócz samego bot-klienta, atakujący musi równolegle odpalać instancję przeglądarki dla każdego bota. To radykalnie zwiększa złożoność ataku i zużycie zasobów.

Bariera ekonomiczna

Załóżmy, że atakujący decyduje się użyć serwisów w rodzaju 2captcha do rozwiązywania captch przez żywych ludzi. Średni koszt rozwiązania jednej captchy to około $0,003. Brzmi tanio, ale policzmy.

Typowy atak botów używa od 500 do 2000 botów na falę. Przy koszcie $0,003 za captchę:

• 500 botów = $1,50 za falę
• 1000 botów = $3,00 za falę
• 2000 botów = $6,00 za falę

Atak zwykle składa się z wielu fal. 10 fal po 1000 botów to już $30. Poważny atak w ciągu dnia może kosztować setki dolarów. I to tylko za captchy, bez uwzględnienia kosztu serwerów proxy i samych botów.

Ale najważniejsze to czas. Serwisy rozwiązywania captch zajmują od 10 do 30 sekund na każdą. Oznacza to, że atakujący nie może wysłać 1000 botów jednocześnie. Będą łączyć się po jednym z opóźnieniem dziesiątków sekund. Zamiast natychmiastowej fali wychodzi powolny strumyk, który łatwo filtruje się naszymi mechanizmami rate-limiter.

Bariera logistyczna

Każdy link do captchy w MineGuardzie jest unikalny i przypięty do konkretnego połączenia. Ma ograniczony czas życia i może być użyty tylko raz. Bot nie może przejść captchy z wyprzedzeniem ani użyć wyniku sprawdzenia do innego połączenia. Uniemożliwia to tworzenie pula "wcześniej rozwiązanych" captch.

Zarządzanie sesjami: nie męczymy prawdziwych graczy

Ważne pytanie: jeśli captcha jest tak rygorystyczna, czy nie będzie przeszkadzać zwykłym graczom? Nie, i oto dlaczego.

MineGuard używa systemu sesji. Po tym jak gracz raz przeszedł captchę, staje się zweryfikowany. Przy kolejnych połączeniach system go rozpoznaje i przepuszcza bez ponownego sprawdzenia. Captcha pojawia się tylko dla nowych, wcześniej nieznanych połączeń.

Dla zwykłego gracza proces zajmuje 15-20 sekund przy pierwszym wejściu. Dalej gra jak normalnie. Dla bota natomiast każde połączenie to nowy problem, który trzeba rozwiązywać od nowa.

Wielopoziomowa ochrona: captcha jako część systemu

Web-captcha w MineGuardzie nie działa izolowanie. Jest częścią kompleksowego systemu ochrony, który zawiera:

• Rate limiting - ograniczenie częstotliwości połączeń z jednego IP
• Detekcję VPN i proxy - blokowanie połączeń przez anonimowe sieci
• Firewall IP - automatyczne blokowanie podejrzanych adresów
• Analizę zachowania - wykrywanie nietypowych wzorców połączeń
• Filtrowanie XDP - blokowanie na poziomie jądra, zanim pakiet dojdzie do aplikacji

Każdy poziom odsiewa część botów. Do captchy docierają tylko ci, którzy przeszli wszystkie wcześniejsze sprawdzenia. A captcha stawia finalną kropkę, oddzielając ostatnich pozostałych botów od prawdziwych graczy.

Dostępność: na jakich planach jest web-captcha

Web-captcha dostępna jest na naszych planach Optymalny (2790 rub/mies) i Profesjonalny (8600 rub/mies). Jeśli twój serwer regularnie mierzy się z atakami botów, to inwestycja, która zwraca się po pierwszym odbitym ataku.

Podsumowanie: dlaczego boty przegrywają

Wewnątrzgrowe captchy przegrywają z botami, bo działają w tym samym środowisku co one. To jak zakładać zamek na drzwi i dać złodziejowi klucz razem z wytrychem. Web-captcha MineGuard przenosi sprawdzenie do środowiska, gdzie boty nie mają narzędzi. Bot Minecrafta nie potrafi otworzyć przeglądarki, poruszać myszką po stronie i rozwiązywać wizualnych zagadek. A nawet jeśli atakujący spróbuje wykorzystać ludzką pracę do rozwiązywania captch, ekonomia i czas pracują przeciwko niemu.

Stworzyliśmy system, gdzie bycie botem oznacza przegrywanie. I cieszy nas, że to właśnie tak.