セキュリティの話題に丸腰で踏み込んでくる人を見た - hnwの日記

Qiita上で「ゲームでよくされるチート手法とその対策 〜アプリケーションハッキング編〜」という記事がいいね数を集めているようですが、全セクションにツッコミどころがあるような印象です。私はセキュリティ本職というわけではありませんが、素人の私から見てもひどいと思ったところだけ個別にツッコミを入れてみます。 念のため補足しておくと、誰であろうと情報発信すること自体は大変良いことです。ただ、誤りを含んだ文章がウッカリ注目されてしまうとそれを信じてしまう人も出てくるので、大人げないと思いつつツッコミを入れる次第です。 デコンパイル(逆コンパイル) 2.の詳しい解説として、C/C++で記述されたコードをコンパイルすると機械語に変換されます。これを逆コンパイルしても、逆アセンブラまでにしかなりません。そのため、この状態ではソースコードの中身を解析するのは(人間では)非常に困難なため、ネイティブコードで

[hnw]

id:Rishatang 真贋がわからない技術者数百人がいいねをつけるようなプラットフォームがあまり好きじゃない、というのは理由にならないんですか？

[blockchain-bitcoin]

QiitaにはDownvote機能が必要だと思う

[syossan]

うーん？と思って見なかったことにしていたエントリに、綺麗なマサカリが投擲されてた。

[atsushieno]

（ブコメ）じっくり解説しようと思ったら自分のブログで書くだろ常考

[Rishatang]

Qiitaでコメントしないあたり、「間違った情報が広まるのを〜」はあくまで建前で知識で他人を殴りたいだけなのではと邪推してしまう / id:hnw 文字数の都合上コメントで返信しました

[TakamoriTarou]

つっこみどころ満載の記事でえらい人にタダでコメントしてもらうライフハックか（やめなさい　　勉強中なら勉強中のメモと言う形で公開すると言うのが正道だと思うし、この業界ではそれらも普通だと思うが、Qiitaは…

[deamu]

Qiitaでワケわからん記事に良いねd(`･∀･)bが付きまくるのは関数型言語の騒動の時に散々見てきた人多いと思うの

[mattn]

デコンパイルはそうだけど乱数は用途次第すよね。

[touhousintyaku]

VB6のRnd なら、なにも指定せずに呼ぶと0時0分からの経過秒数(float)がシードになります　素敵ですね

[youhey]

クライアント側は挙動を解析される前提というのは酸性で、基本は対策なんて不可能でどの程度まで嫌がら出来るかかなと思ってる。

[itouhiro]

「C/C++で記述したネイティブバイナリからでもコードは把握可能（高機能な逆アセンブラIDA Pro）。ソシャゲのクライアント側の挙動は解析される前提でシステムを設計すべき＝解析困る内容はサーバ側で実装が原則」

[yarumato]

“Qiita上で「ゲームでよくされるチート手法とその対策 〜アプリケーションハッキング編〜」という記事がいいね数を集めている。個別にツッコミ”

[dann]

IDA pro

[rana_kualu]

「真贋がわからない技術者数百人がいいねをつけるようなプラットフォーム」はてブのことじゃん。なんでこの人はてブに参加してるの？

[lazex]

ゲームだと時間による乱数を使ってこの時間だと運がいいとかはむしろやってもらいたいんだけど。「噂によると来週日曜の0時ピッタリに引いたら★5来る」みたいなのがあったほうがただのランダムより楽しそうじゃん

[tengo1985]

qiitaはstackoverflowみたいに内容の品質がよくわからんのがつらい

[harry0000]

"""丸腰で踏み込んでくる人"""

[wordi]

乱数はC++だとstd::random_deviceが一般的ですでにこいつがencryptなseed吐いてくれるんよね、Swiftは疎いからiOS事情は知らん

[wwolf]

格下を見るとイキってしまうのはエンジニアの麻疹みたいなものよね

[doscoy_t]

自分でも言ってるけどこの記事も正直知見が甘いし突っ込まれどころそこそこある印象。詳しくないなら黙ってたほうがいいと思うよ。

[junpeso]

乱数調整のところはそういう実装する人がいるという話で、そんなシステムが無いと断定するのは議論が空中戦過ぎ

[orenonihongogayabai]

セキュリティから話題離れるけど乱数についてはOSやライブラリを単純に信頼して生で使うのも事故原因かと。いま問題無いからといってライブラリ側の実装ミスがない事を未来永劫にわたって保証されているわけじゃない

[sigwyg]

「素人の私」だから遠慮してるのかもだけど、記事主が捕捉できる方法で投下しないと、議論にもならないのでは。

[hayattennna]

真贋はさっぱりわからないけどブクマする

[umai_bow]

まさかりだ

[tamtam3]

擬似乱数系のネタは毎回揉めるなぁ…前さらっと説明したら、ここでボッコボコにされた

[zyzy]

本人勉強がてら備忘録的に書いたっぽいなぁ、と元記事読みにいって思った。まさか人気が出てしまうとは、という感じかも。

[takc923]

筆者のブコメが真であるならば、元記事にいいねしてた人たちがこのブログをはてブしたら自分のブログも書けなくなると言うことかな？

[hiroomi]

”話を戻すと、クライアント側バイナリの挙動は全て解析される前提でシステム全体を設計すべきです。つまり、解析されて困る内容はサーバ側で実装するのが原則論になるでしょう。”

[Surgo]

優しさに溢れてて素敵

[cowbee]

ブコメのやり取り、qiitaの記事を額面通り受け取ってしまう人たちのためにコメントにも言及してあげたほうがよりよいよね、とは思った

[kamayan1980]

「クライアント側バイナリの挙動は全て解析される前提」の一言に尽きる。金庫を店先に出せば遅かれ早かれ暴かれる。暴かれたくない金庫は存在すら知られないのがもっともセキュア。

[naka-06_18]

IDA Pro/毛の壁さん

[swdrsker]

結果的に言及元の記事に興味が湧いた

[hdampty7]

ガチャなんかは悲観ロックでも行けそうだけどデッドロックが怖いのでuser_idをキーにしたロックテーブルとか作るのが案外面倒くさい。DB複数の場合はRedis便利だけど、タイムアウト系の実装が自前だった覚えがある。