PC-Scanning

[lvl]

Moin Moin. :)

Hab da mal eine Frage die mich brennend interessiert.
Ich habe über dieses Thema schon mit einigen Leuten gesprochen, und wollte mal eure Meinung einholen.

Es geht sich um folgendes ( :D )

Bei Browsergames ist es generell verboten, ehrere Accounts zu nutzen um sich einen Vorteil zu verschaffen. So weit so gut.
Nun versuchen die GameAdministratoren Leute zu finden die gegen diese Regel verstoßen.

Ein einfaches Mittel ist die IP zu überprüfen. Wenn sich die gleiche IP bei unterschiedlichen Accounts anmeldet ist das verdächtig. Aber es wird auch nur der Internetzugang überprüft und nicht "PC". Es könnten ja mehrere aus einer Firma die alle über die gleiche IP gehen dieses Spiel spielen (blödes
Beispiel).

Dann stellte sich mir die Frage, ob es möglich ist die Mac-Adresse festzustellen, um den PC halbwegs zu identifizieren?
Dazu sagte ein Arbeitskollege mir, dass dies nicht möglich ist. Somit kann der "PC" auch nicht einwandfrei identifiziert werden.

Eine weitere Frage die mir dazu im Kopf rum schwiert ist: Kann man das mit cookies feststellen? Sprich, wenn ich die cookies nicht lösche und mich dann in einen anderen Account einlogge, ob man dann sehen kann, aha, der Schlingel war schon mit einem anderen Benutzer dirn?
Könnte ich mir vorstellen.

Aber grundsätzlich würd mich interessieren welche Methoden es gibt um einem Verstoß vorzubeugen.

Dies interessiert mich, da ich evtl. auch ein solches Browsergame programmieren möchte.

Ich hoffe ich entfache hiermit eine interessante Diskusion. :)

[Rouven]

Hello,

die Problematik mit den Multis ist ja bei solchen Spielen wirklich ärgerlich. Ich habe selbst mehrere Jahre lang gespielt und versuche mal aus meiner düsteren Erinnerung was beizusteuern.

1. Cookies:
   Na ja, das wäre nun wirklich die blödeste Methode. Du hast recht, damit funktioniert es zweifelsohne, das Spiel bräuchte nur an deinen Browser ein Cookie auszuliefern, in dem dein Nutzername drinsteht. Bei jedem weiteren Aufruf des Spiels würde der Browser nun auch dieses Cookie wieder mitschicken und der Server könnte problemlos eine Abweichung im Nutzernamen feststellen.

2. IP:
   Die IP-Feststellung ist wohl eine der gebräuchlichsten Maßnahmen. Ich erinnere mich, dass es damals bei dem Spiel tatsächlich eine Pflicht zur WG-Anmeldung gab, damit der Spielbetreiber Wohngemeinschaften mit mehreren Accounts kannte, ich meine mich sogar zu erinnern, dass die sich einen gescannten Personalausweis oder Adressnachweis schicken ließen um sicherzugehen, da nicht über den Tisch gezogen zu werden. Wenn nicht, dann wurde mehrere Logins unter der selben IP innerhalb eines kurzen Zeitraums als Multi gewertet und die Nutzer gelöscht.

3. Mac-Adressen:
   Jain, ich meine mich zu erinnern, dass Vinzenz Mai mal eine Demo mittels ActiveX fabriziert hat - das beschränkt sich allerdings dann auf den Internetexplorer und die Einwilligung des Nutzers das ActiveX Control zuzulassen, kann also ohne dein Zutun nicht wirklich genutzt werden.

4. Verhaltensmuster:
   Neben Multiaccounts sind ja auch Bots bzw. Tools die einem den Spielablauf erleichtern ein Problem für solche Spiele. Man kann versuchen, bestimmte ungewöhnlich kurze (Bots) oder einfach sich wiederholende Abläufe (Multis) zu finden (z.B. Login, Gebäude bauen, Schiff bewegen, nächste Stelle, Gebäude bauen, ... - und dabei immer nach dem selben Klickmuster bzw. die selbe Art von Gebäuden etc.), allerdings ist dies (a) ziemlich rechenintensiv und (b) fehlerträchtig - es kann aber dabei helfen, Kandidaten für Multiaccounts zu finden.

Generell ist das alles aber ein ziemlich heißes Eisen und ich wünsch dir viel Spaß damit, da Möglichkeiten zum Unterbinden zu suchen.

MfG
Rouven

[Der Martin]

Hallo,

1. Cookies:
   Na ja, das wäre nun wirklich die blödeste Methode. Du hast recht, damit funktioniert es zweifelsohne, das Spiel bräuchte nur an deinen Browser ein Cookie auszuliefern, in dem dein Nutzername drinsteht. Bei jedem weiteren Aufruf des Spiels würde der Browser nun auch dieses Cookie wieder mitschicken und der Server könnte problemlos eine Abweichung im Nutzernamen feststellen.

die einfachste Methode, diese Prüfung auszuhebeln: Benutze für jede Anmeldung ein anderes Benutzerprofil - oder spiele einen Account mit Opera, einen mit dem IE und einen mit Firefox: Getrennte Cookies, kein Browser weiß was von den anderen.

2. IP:
   Die IP-Feststellung ist wohl eine der gebräuchlichsten Maßnahmen.

Ist aber problematisch, wenn mehrere User sich einen Internet-Zugang teilen, das hast du ja selbst schon angedeutet. Aber wenn die Benutzer sich einigen, dass jeder einen anderen Proxy verwendet ... Und kombiniert mit Punkt 1. kann dann auch wieder *ein* User mehrere Logins in getrennten Browser-Profilen über verschiedene Proxies laufen lassen.

3. Mac-Adressen:
   Jain, ich meine mich zu erinnern, dass Vinzenz Mai mal eine Demo mittels ActiveX fabriziert hat

Das können wir wohl für den Einsatz im öffentlichnen Internet ausklammern. Wer würde sich denn *vorschreiben* lassen, dass er einen IE benutzt, und dann auch noch ActiveX zulassen soll? Mal ganz abgesehen davon, dass dies auch noch ein Windows-System voraussetzt.

4. Verhaltensmuster:

Ist eine sehr unsichere Methode, aber IMHO die einzige Möglichkeit, überhaupt einen *Benutzer* wiederzuerkennen. Genauso, wie man hier im Forum ab und zu bei Namen, die neu auftauchen, Parallelen zu bekannten Usern entdeckt und *vermutet*, dass dieselbe Person dahintersteckt.

Generell ist das alles aber ein ziemlich heißes Eisen und ich wünsch dir viel Spaß damit, da Möglichkeiten zum Unterbinden zu suchen.

*fg*

So long,
 Martin

[迪拉斯]

Hey,
schlaue Leute haben das Problem so gelöst: es ist jedem erlaubt, beliebig viele Accounts zu haben, aber ein Account darf nicht genutzt werden, einen anderen Account aufzuwerten. Sprich wenn ein Account schneller Fortschritt macht, als das mit eigenen Mitteln möglich wäre, bedeutet das Regelverstoß.

Dieser Sachverhalt lässt sich wesentlich einfacher und zuverlässiger prüfen als der Ansatz, mehrere Accounts einer Person zuzuordnen.

[Manuel B.]

Ich grüsse den Cosmos,

Eine weitere Frage die mir dazu im Kopf rum schwiert ist: Kann man das mit cookies feststellen?

Wenn der Cookie nicht gelöscht wird und der User nur den einen Browser auf diesen einen Rechner verwendet, klappt das

Aber grundsätzlich würd mich interessieren welche Methoden es gibt um einem Verstoß vorzubeugen.

Schreibe eine Clientsoftware, die nur einmal gestartet werden kann. Logischerweise in einer Sprache, die Kompiliert werden kann.

Dies interessiert mich, da ich evtl. auch ein solches Browsergame programmieren möchte.

Dann arfbeite ein Konzept aus, das es verhindert, mit mehreren Browserfenstern einen Vorteil zu bekommen. Z.B. müssen Züge nacheinander erfolgen und Geschwindigkeit bringt keinen Vorteil für den SPieler.

Möge das "Self" mit euch sein

[Tja]

Deine Fragen legen den Verdacht nahe, Du möchtest von uns wissen, wie Du unseriöses Verhalten (oder auf Deutsch: Betrügereien) am besten kaschieren kannst.
Hierzu sollte das Forum nicht beitragen!

[lvl]

Deine Fragen legen den Verdacht nahe, Du möchtest von uns wissen, wie Du unseriöses Verhalten (oder auf Deutsch: Betrügereien) am besten kaschieren kannst.

Das habe ich nicht vor.
Wie schon gesagt, habe ich vor selber ein solches Spiel zu programmieren.
Genauso könnte ich auch für einen Chat fragen. Wenn ein User unnötig viel Spamt und gekickt wird, soll er nach einem Neu einwählen ins Internet (in der Regel eine sache von 30sek) nicht wieder Spamen kommen.

Nur habe ich nicht vor einen Chat zu programmieren, sondern ein Browsergame.

Wenn ich wirklich die Absicht hätte, hätte ich wohl nur gefragt welche Möglichkeiten es gibt und nicht sogar nach Möglichkeiten selbst gesucht.

Da sich dieses Thema aber wie schon erwähnt nicht nur bei Browsergames anwenden lässt, sondern auch bei Chats und Communitys (usw.) hat es mich als Programmierer interessiert.

[Manuel B.]

Ich grüsse den Cosmos,

Deine Fragen legen den Verdacht nahe, Du möchtest von uns wissen, wie Du unseriöses Verhalten (oder auf Deutsch: Betrügereien) am besten kaschieren kannst.

Das würde bedeuten, das automatisch jeder, der Fragen bezüglich Scriptsicherheit hat, nur die Absicht hat, einen Server zu Hacken.
Ich denke, ein wenig differenzieren ist nicht zuviel verlangt, oder?

Möge das "Self" mit euch sein