[💬] 데이터 서버에서 조작하면 해킹 방어가 된다는게

[익명(110.11)]

내가 해킹공부를 해본적이 없어서 이해가 잘 안되는데

해커가 필드값을 보거나 조작하는건 쉬운데 메소드(함수) 로직을 보거나 조작하는건 어렵다는 뜻임??

당연히 값 자체는 서버에 있고 그걸 보여주기만 하는게 클라 역할이더라도 그 값을 업데이트하는 API를 클라가 들고있을거아냐

그 API를 해킹하거나 무단호출하는건 필드 해킹하는거보다 훨씬 어려움?

[익명(110.11)]

아니면 최소한 로그가 남으니 밴하면 된다 이런건가??

[익명(218.52)]

데이터를 서버에서 조작한다는건 단순히 A를 요청하면 B를 돌려주는걸로 끝이 아니라, 연관된 트랜지션 데이터들을 체크해서 데이터 조작 여부를 판단하는 것 까지 포함임. 유저 레벨 100에 얻을 수 있는 보상이 있는데 이걸 50렙 유저가 해킹해서 요청하면, 요청했으니까 옛다 보상이 아니고 유저 레벨이 저장된 트랜지션 데이터를 체크해서 "너 진짜 100레벨 맞아? 아닌데? 너 이 새끼 검거" 이런 식으로 가는거지

[익명(110.11)]

그 체크는 클라에서 함 서버에서 함? 그걸 클라에서 하면 결국 해킹 대상이 되는건 똑같고, 앱도 무거워지니까 당연히 서버에서 해야될 것 같은데 그걸 서버에서 한다는건 BaaS로는 못하는 작업 아니냐? 별도 접근/관리가능한 서버가 있어야 가능한 이야기 같은데?

[익명(218.52)]

당연히 서버에서 검증을 해야 되는거고, BaaS로는 해본 적이 없어서 답을 못주겠다. 이건 BaaS 많이 써본 애가 등판하길 기다려봐

[익명(110.11)]

백엔드 주로 어떤거 씀?

[익명(218.52)]

지금 다니는 회사 자체 구현. 개인 개발은 거기까지 신경 쓸 단계도 아직 한참 멀어서 따로 고민 안해봄

[익명(218.52)]

그러니까 내가 단 댓글은 그냥 단순히 왜 서버에서 데이터를 조작하는게 해킹 방어가 되는건지에 대한 답으로만 이해하고 나머진 다른 애들 댓글 기다리는게 나음

[익명(126.170)]

나도 BaaS 많이는 안써봤다만 Playfab같은거 서버에서 서버스크립트 JS로 돌릴수 있잖아 그런걸로 검증하는거지 오히려 서버 검증로직 못쓰는 BaaS가 있나....?

[익명(110.11)]

ㄴ플레이팹 그게 됨? 파이어베이스 되는지 안되는지 모르겠는데 일단 내 검색으로는 도저히 못찾겠다 ㅜㅜ 콘솔 인터페이스에도 안보이고

[익명(126.253)]

https://docs.microsoft.com/en-us/gaming/playfab/features/automation/cloudscript/quickstart
이건
플레이팹
https://firebase.google.com/docs/functions
파베도
있네

[익명(118.235)]

클라에서 데이터조작은 치트엔진같은거로 함수 콜도 안하고 메모리에서 조작할 수 있자너

[익명(118.235)]

서버는 최소한 메모리제어는 못하고 보낸 요청 유효성검사할 수 있고

[익명(118.235)]

물론 서버에서 요청 유효성검사도 안하고 넙죽 받으면 클라랑 다를것도 없고 BaaS라도 구현에 유효성검사 못넣지는 않을거 아니야

[익명(110.11)]

구현이라면 백엔드 구현에? 걔내 입출력 API로만 제공하지 않음? 결국 API를 호출하는게 클라 몫이면 비슷하지 않을까 생각했던거임

[익명(14.52)]

api가 함수라고 치면 클라는 그 함수에 인자를 원하는대로 아무거나 다 넣을 수 있다고 가정하면됨. 쉽게 말하면 A, B중 선택하는 걸 api에다가 A나 B를 직접 받는 식으로 개발하면 해커가 C같은거 넣어버릴 수 있으니까 api는 0이나 1처럼 인덱스를 받게하고 서버에서 A, B를 최종적으로 선택하게끔 하면 해커가 뭔 입력을 해도 예외처리 한번에 깔끔하게 막을 수 있겠지

[익명(110.11)]

줄단위로 멈추고 조작하고 하는것도 다 가능하다고 생각하는게 맞음? 별다른 검증 없이 (1) 우선 수정로그를 올리고 (2) 원격 데이터를 직접 수정했을때 1번 과정 스킵하고 2번만 하는것도 무난히 가능한가? 빡빡하게 잡아야되는건 아니고 로그대조해서 밴해도 될 것 같아서 물어보는거

[익명(14.52)]

문제 상황에 대해서 파악하고 있고 그걸 어떻게 하면 될거같다는 정도의 각이 보였으면 그정도로 진행하면 될거야.

[익명(119.195)]

게임 개발에 있어서 클라이언트(모바일 게임 클라이언트, PC 게임, 콘솔 게임 모두)는 뚫린다고 가정함. 즉, 클라이언트 내부에서 서버에 요청하는 어떤 종류의 API든 외부에 노출되었다고 가정하고 개발함.

[익명(119.195)]

따라서 서버는 클라이언트의 모든 요청을 검증하는 식으로 감. 예를 들어, 클라이언트는 몬스터를 공격하는 API를 가지고 있을 수 있지만, 몬스터를 죽였다는 API는 가질 수 없음. 오로지 서버만이 클라이언트가 몬스터를 죽였다는 API 요청을 받고 몬스터를 진짜 죽인건지 판정해서 몬스터를 죽였다고 판정내고 그 값을 서버 메모리 및 디비 같은 외부저장소에 저장하고 클라이언트에 돌려주는거임

[익명(119.195)]

즉, 애초에 클라는 오로지 "요청"하는 API만을 가지게 되는게 보통임. 마우스나 키보드로 이동 요청, 맵 이동 요청, 공격 요청, 스킬 요청... 이 요청에대한 승인이나 거부는 서버가 하고. 이러한 구조가 없는 단일 클라는 모두 뚫린다고 보면됨.