用新一代的標準來檢視遊戲主機安全性

2013年11月代表著第七代電視遊樂器到第八代主機間的最後過渡期。雖然任天堂的Wii U客廳遊戲主機和3DS攜帶式主機都已經出現在市場上好一段日子了,現在Sony和微軟也各自推出了PlayStation 4和Xbox One,這兩台的頂尖規格也都引起了許多注目。

遊戲 Game the-upcoming-video-game-console-generation-faces-a-number-of-key-cyberse_459_539630_0_14090181_300

此外,後面這兩台遊戲主機和任天堂第八代產品最大的差異是它們對於整體網路服務的注重以及使用產業界的硬體標準。比方說,PS4和Xbox One都使用跟個人電腦或Mac電腦類似架構的x86處理器。雖然這些晶片會帶來比上一代產品顯著的效能提升,卻也可能替那些熟知x86漏洞攻擊的網路犯罪份子開啟許多新的攻擊面。

但更迫切的問題應該是這些遊戲主機的連線程度,尤其是Xbox One。消費者已經對始終連線的Kinect表示無法接受,這在前一代Xbox 360外加的動作感應網路攝影機,到了Xbox One已經變成內建、開箱即用的功能了。

另外,這三個第八代客廳遊戲主機都比之前產品更大程度的利用網路服務,不僅僅是遊戲,還包括媒體消費。它們已經變成了電腦,只是用了另外一個名字,但卻有幾乎相同的網路安全包袱。關鍵是專家們必須要認識到這一點,緊密和廠商合作好將使用者的風險降到最低。

2013年5月Wii U被駭,開啟第八代遊戲主機漏洞的前奏

雖然比PS4或Xbox One所受到的關注少,不過Wii U也成為網路安全的焦點。在2013年初,一群駭客聲稱已經針對遊戲主機用來確保只執行來自信任來源的加密金鑰和磁碟驗證進行了逆向工程。

WebProNew說明,這起攻擊可能只是針對Wii U眾多安全機制的第一波,可以從任天堂舊款Wii的經驗中學習到。Wii從2006年推出開始就經常成為盜版的目標,想透過其他方法來載入遊戲,因此常常需要進行強制更新。

同樣地,最近的Wii U破解事件讓使用者可以透過USB磁碟來載入遊戲,繞過系統要求遊戲必須來自光碟或購買自任天堂網路商店的限制。雖然有些使用者可能會因為帶來更大的靈活度而受益,但失去保護措施也可能讓其他人陷入資料遺失給惡意、盜版軟體的風險。

Kinect、PSN和次世代主機的隱私問題

不過,Wii U事件跟它可能有眾多漏洞的競爭對手比起來是小咖了些。當Xbox One在今年初亮相時,因為它包含一個內建、永遠連線的高畫質攝影機 – Kinect而引起了一番爭議。

一開始,新Kinect被當作是系統的必要規格 – 使用者沒辦法將其關閉,不然遊戲主機也無法運作。經過消費者和媒體表這樣設定所可能造成的隱私問題表示擔憂後,微軟收回成見,宣布Kinect可以被拔除,而非必須

儘管如此,Kinect的演變(從一開始僅只是週邊設備),顯示了遊戲主機是如何日漸完備,成為網路社群必須認真研究安全問題的一個端點。根據NBC新聞,Xbox One Kinect非常的先進,甚至可以讀到使用者的心跳速率。在這方面,它幾乎是獨一無二的,讓第八代遊戲主機可以透過如此進步的影像和生物辨識技術來驗證使用者。

「電視遊戲主機所帶來的問題和行動電話類似,因為使用者對這些設備在做什麼僅有很少的能見度,也很難去控制這些設備上運行的軟體」,電子前線基金會的技術專家Seth Schoen這樣告訴NBC新聞。「他們增加了聲音和影像感應器,可以知道人們的客廳裡發生什麼事。我們也都知道,政府多年來都一直想要能從遊戲通訊中發掘出東西,這符合他們一貫試圖發展監聽各種通訊媒介能力的模式。」

在這同時,一個客廳設備的監視能力可以經由新遊戲主機利用雲端運算支援線上播放、消費媒體和遊戲內聊天來加強。Xbox One使用雲端架構來建置專用的伺服器,但更令人擔心的可能是最近Sony PlayStation網路訊息服務的變化。

SiliconANGLE的Saroj Kar指出,PS4的條款和條件要求使用者同意Sony可能會監視他們的通訊。同樣地,合約表明,Sony可能會收集敏感資料,像是姓名、甚至IP地址,並且根據Sony政策的要求可以提供給其他團體使用,該公司表示這是為了監控和處理盜版和惡意使用問題。

遊戲主機的網路服務有義務去保護使用者和防止入侵

當網路服務對電視遊戲體驗變得不可或缺時,使用者也面臨網路犯罪活動增加的風險。在2011年,PlayStation Network停擺了將近三個禮拜,因為駭客入侵了Sony的系統,並可能拿走數百萬使用者的資料。放眼未來,這樣的攻擊可能會變得更加普遍,因為遊戲主機整合了更多的服務。

在一篇Polygon的文章裡,Emily Gera說明微軟和Sony如何採取行動來保護線上使用者帳號被未經授權的存取。Sony在PSN被駭後建立了新的資料中心,微軟也已經採取行動來提高其Xbox Live訂閱服務的安全性,還包括微軟和其合作夥伴(如Netflix公司,提供連結Xbox的應用程式)之間的資料交換流程。 繼續閱讀

人氣行動應用遊戲「Temple Run 2」出現 Android 山寨版,下載後強迫放送廣告

在 Apple App Store上發布不過幾天,山寨 Android 版 Temple Run 2 已經出現在某些網站上了。

在Apple App Store發表僅僅四天後就出現了廿萬次的下載,Temple Run 2在 Temple Run粉絲群和遊戲愛好者之間的確備受期待。這遊戲的Android版本原定在本週發表,但趨勢科技已經看到有些網站出現疑似 Android 版 Temple Run 2的販賣。

我們分析了一個號稱是 Temple Run 2的應用程式, 令使用者大失所望的是,這些應用程式都沒有執行真正的Temple Run遊戲。這被趨勢科技偵測為ANDROIDOS_FAKETEMPLRUN.A的應用程式會派送廣告給使用者。

 

山寨版Temple Run 2,下載後強迫放送廣告

 

趨勢科技還注意到有其他網站提供Temple Run  2。仔細查看一下其中一個網站上的描述,開發人員有對這應用程式做出聲明。雖然網站沒有出現任何惡意行為,利用Temple Run 2去誘騙使用者下載「桌布」應用程式(有些網站提供的是解謎應用程式等等)還是相當可疑。

雖然目前所看到的幾起事件都只會造成輕微的傷害。但隨著發表日期的接近,我們也可能會看到帶有更大破壞能力版本的出現。

高人氣可能帶來危險

這並不是第一次有可疑的開發者想要借用Temple Run受歡迎的程度了。甚至在它發表Android版本之前,趨勢科技就注意到有山寨版出現Android Market上,而Google也馬上將其刪除。其他高人氣的行動應用程式,像是Instagram憤怒鳥Farm Frenzy在過去也都出現過山寨版。

在我們的二〇一三年資安威脅 繼續閱讀

App 程式如同瀏覽器:行動裝置 App 程式值得信任嗎?

趨勢科技的研究小組在進行腦力激盪,試圖找出值得研究的計劃時,有人提到手機 App 程式其實骨子裡就是一個「經過包裝的瀏覽器」。

請容我娓娓道來。當您打開您最愛的 App 程式,它很可能會連上某個網站,然後以某種方式呈現所取得的資料。當然,並非所有手機 App 程式都會這麼做,只不過絕大部分是如此。我所說的並不侷限於 AmazoneBay 的 App 程式 (這些當然看起來像瀏覽器,只不過查詢的對象僅限於他們的特定伺服器而已),還有像 Flipboard 這類的 App 程式也是。我很喜歡 Flipboard,但骨子裡,它只不過是連上 FacebookTwitter,然後用漂亮的方式來呈現內容而已 (好吧,它非常漂亮)。

這樣的情況會不會讓 App 程式更容易遭遇到一般瀏覽器不會遇到的狀況 (也就是不可預期的行為) 呢?例如,如果某個 App 程式會發送制式化的請求到特定的網站,是不是會有人利用這一點來操弄這個 App 程式或這個網站呢?

我針對這一點展開了研究,並且建立了一個環境來窺探所有進出 AndroidiPhone/iPad 行動裝置 App 程式的網路流量。我測試了很多 App 程式,查看它們的流量,看看是否有些漏洞可以利用,結果我真的有所發現。

我的朋友推薦了一個顯然非常熱門的資源管理遊戲。這個遊戲每星期都會提供一份獎品給遊戲玩家。但現在他們已經取消了這項作法,這有可能是我的錯 (儘管我從未直接和他們聯繫)。這項機制的運作方式大致如下:如果您在遊戲開發廠商的 Facebook 網頁上按「讚」,他們就會提供一個密碼給你,該密碼可在特定的周末解開某些隱藏的資源。每周末都會換一組新的密碼,該密碼只在那二天有效。

 

如果您在遊戲開發廠商的 Facebook 網頁上按「讚」,他們就會提供一個密碼給你,該密碼可在特定的周末解開某些隱藏的資源
如果您在遊戲開發廠商的 Facebook 網頁上按「讚」,他們就會提供一個密碼給你,該密碼可在特定的周末解開某些隱藏的資源

繼續閱讀