По словам блоггера по безопасности, в Arc Raiders была обнаружена потенциально серьезная уязвимость безопасности, которая может подвергнуть риску частные сообщения Discord, информацию из списка друзей и многое другое. Embark Studios сообщила игрокам, что «проводит более глубокую проверку» проблемы.
Тимоти Медоуз, инженер распределенных систем и технический блоггер, впервые опубликовал блог ранее на этой неделе, утверждая, что Arc Raiders хранит частные сообщения Discord, данные о присутствии в списке друзей и токены аутентификации носителя Discord в файлах журналов. По его словам, это происходит, если во время игры в шутер включена интеграция с Discord.
В своем блоге Медоуз резюмирует свои выводы следующим образом: «Во время игры в Arc Raiders было обнаружено, что частные разговоры в Discord Direct Message (DM) между двумя пользователями записывались в виде открытого текста в локальный файл журнала игры. Кроме того, в том же файле журнала был обнаружен полный токен аутентификации носителя Discord. Эти результаты представляют собой серьезные нарушения конфиденциальности и безопасности, которые затрагивают всех игроков, использующих интеграцию Discord с игрой».
По словам Медоуза, личные сообщения Discord между двумя пользователями, которые в противном случае были бы частными, были зафиксированы с помощью Discord SDK (комплекта разработки программного обеспечения) Arc Raiders. Он отмечает, что в его выводах они были «полностью записаны в текстовый файл журнала, хранящийся локально на компьютере пользователя».
Он утверждает, что это происходит из-за того, как работает Arc Raiders Discord SDK. Когда интеграция Discord включена, для доступа к данным используется полный токен аутентификации Discord Bearer. Думайте об этом как о зашифрованном пропуске, который обеспечивает доступ к определенным данным Discord. По словам Медоуза, в рамках этого процесса собирается больше информации, чем ожидалось, включая частные сообщения DM. Он заявляет: «Вместо того, чтобы фильтровать конфиденциальные события, SDK записывает все, что получает, на диск».
Потенциально это означает, если Медоуз прав в своем тестировании, что частные разговоры, полученные во время работы игры, записываются на диск, файлы журналов этих данных могут быть включены в отчеты о сбоях или загрузки отчетов об ошибках, и они могут быть доступны другим приложениям на той же машине. В результате третьи лица, имеющие доступ к машине или отчетам о сбоях, могли читать частные разговоры и многое другое.
В личном аккаунте X Медоуза он утверждает, что «пытался сообщить об этом в @EmbarkStudios, но там (так в оригинале) программу вознаграждения за ошибки найти не удалось. Просто мертвая ссылка, не указанная в каталоге @intigriti».
«Существует довольно серьезная проблема безопасности с интеграцией Discord SDK @ARCRaidersGame, которая подвергает людей риску».
Управление настройками файлов cookie
В заявлении, опубликованном на официальном сервере Arc Raiders Discord, в разработке находится исправление, по-видимому, в ответ на эти выводы. В нем говорится: «Команда также работает над исправлением для решения проблемы, из-за которой Discord SDK регистрировал чрезмерную информацию о пользователе. Будьте уверены, что ваши личные и/или личные данные не были отправлены за пределы вашего компьютера, и Embark не просматривает (и не будет) проверять или хранить такую информацию. Мы отключим ведение журнала Discord SDK и проведем более глубокий аудит, чтобы исключить дальнейшие проблемы. Если у вас есть вопросы или проблемы, пожалуйста, свяжитесь с нашей службой поддержки».
В своем блоге Медоуз рекомендует немедленно сменить пароль Discord, никому не передавать файлы журналов и отключить интеграцию Discord в Arc Raiders, пока проблема не будет решена.
Eurogamer связался с Embark Studios и Discord для комментариев.
