Luki bezpieczeństwa zawsze narażają użytkowników na większe, bądź mniejsze zagrożenie ze strony oszustów lub cyberprzestępców. Zazwyczaj nie dotyczą one jednak tego typu stron internetowych. Oszuści mogli wykorzystywać słabości w zabezpieczeniach największego na świecie portalu szachowego chess.com.
Nawet portal szachowy nie jest bezpieczny
Trzeba przyznać, że takich informacji nie podaje się zbyt często. Zazwyczaj słyszymy o lukach bezpieczeństwa np. w programach pocztowych lub oszustach podszywających się pod strony internetowe banków. Tym razem sprawa dotyczy portalu do gry w szachy.
Eksperci od bezpieczeństwa cybernetycznego Check Point Research przyjrzeli się bliżej zabezpieczeniom platformy Chess.com, która może pochwalić się ponad 100 mln członków i 17 mln codziennych partii. Po przeprowadzeniu badań odkryli oni kilka słabości, które mógłby wykorzystać oszust do oszukiwania i zakłócania gier.
Po co oszuści mieliby manipulować wynikami gry w szachy? Sytuacja nabiera zdecydowanie więcej sensu, kiedy zdamy sobie sprawę, że w grę wchodzą nagrody sięgające nawet miliona dolarów.
Znaleźliśmy wiele luk w zabezpieczeniach platformy Chess.com, które pozwalają atakującemu oszukiwać w rozgrywkach szachowych i ustalać wyniki nawet bez uczestniczenia w grze. Na Chess.com jest ponad 100 milionów graczy, a wygranie gry przez oszukiwanie może obniżyć ogólny wynik przeciwnika, jednocześnie zwiększając wynik osoby oszukującej. Potencjalni napastnicy mogli wykorzystać luki w zabezpieczeniach, również, aby zdobyć cenne nagrody. Oded Vanunu, kierownik działu badań nad podatnościami w Check Point Research.
Tak lukę bezpieczeństwa wykorzystywali oszuści
Wykorzystywanie luk możliwe jest poprzez modyfikację interfejsu API gry szachowej. Eksperci byli w stanie skrócić czas przeciwnika i zwyciężyć partię. W jaki sposób to działało?
Chess.com używa WebSocket do komunikacji w grze. Każda partia zawiera identyfikator gry, który można zobaczyć bezpośrednio w adresie URL. Atakujący rozpoczyna partię szachów z kimś, kogo dodał do swojej listy znajomych przed lub w trakcie gry. Kiedy użytkownicy rozgrywają partię jako znajomi, w interfejsie pojawia się dodatkowa opcja, dzięki której swojemu przeciwnikowi możemy dodać dodatkowe 15 sekund na zastanowienie się nad ruchem.
![portal szachowy chess luka bezpieczenstwo oszuści](https://www.tabletowo.pl/wp-content/uploads/2023/03/portal-szachowy-chess-luka-bezpieczenstwo-oszusci.jpg)
Tutaj do gry wkraczali oszuści, którzy mogli przechwycić żądanie WebSocket za pomocą dowolnego narzędzia proxy, a następnie zmodyfikować je tak, by ich przeciwnikowi czas był odejmowany, a nie dodawany. Dzięki luce w zabezpieczeniom możliwe było manipulowanie zegarem przeciwnika tak, by nawet go wyzerować i dzięki temu wygrać całą partię.
Eksperci z Check Point Research zapewniają, że natychmiast po odkryciu tej luki ujawnili swoje ustalenia firmie Chess.com, która rozwiązała ten problem. Teraz możecie już ze spokojem grać w szachy online, wiedząc, że nikt Was nie oszuka.