魔高一尺 道高一丈：游戏帐号安全史话

魔高一尺 道高一丈：游戏帐号安全史话

网络游戏出现后，“玩家互动”的游戏方式应运而生，开启了游戏历史新的一页。 网络游戏在给玩家带来全新体验的同时，也给游戏账号的安全蒙上了一层阴影。 由于网络游戏中的道具、宠物甚至账号都被赋予了财产属性，一些与游戏道具、账号相关的交易在“幽灵市场”上一直活跃。

密码安全、游戏账号安全第1课

早年，在全民《传奇》时代，盗号的魔咒如跗蛆般挥之不去。 试想一下，当凝聚了无数时间、精力和运气的装备被黑客洗劫一空时，你会不会从此开始怀疑自己的人生？ 在那个网络安全体系尚不健全的洪荒时代，一群互联网人才凭借先进的黑客技术无情收割了玩家的芳心。 据当时的计算机杂志报道，一些黑客软件可以通过秘密记录击键来窃取帐户。 也就是说，当你打开《传奇》游戏客户端的那一刻，黑客软件就会开始工作，你输入账号和密码的按键操作就会被记录并发送给黑客。 当时有一种防盗的方法。 大概的意思是，由于早期的键盘动作记录软件无法区分鼠标的移动，所以只需要合理使用鼠标，打乱密码输入的顺序，就可以达到防盗的目的：比如先输入最后的密码的几位数字，然后用鼠标将光标插入到前面，然后输入前几位数字； 或者输入一些不相关的字符，用鼠标选中它们，然后输入正确的字符来替换它们。 这些伎俩可能曾经奏效，但黑客技术不断进步，后来黑客软件已经能够识破这些伎俩，直接读取最后一次按下登录按钮时的结果。

关于这个黑客软件还有一个小故事。 老玩家一般都会遇到，剧情是这样的，无聊的夜晚，游戏主城里有人不断喊着类似的话：“孤独的女孩想上网聊天，可以加Q看玉照。” 当你打开对方的“MM photo.exe”时，黑客软件就开始工作了。 游戏卡住了，卡住了，再次登录时，账号密码已经泄露。 另外，还会有人不断告诉你，你中奖了，你已经被系统选为幸运用户了。 只要在对方提供的网站上输入账号和密码就可以了...你已经在他们的网站上写下了账号和密码。 ，还有什么可说的？

玩家无法弄清楚技术问题。 但游戏开发商必须解决这个问题。 当账号密码可能泄露时，如何减少玩家的损失？ 于是一场围绕账户安全的战争正式打响。

二次密码，游戏装备的二次锁定

针对登录密码安全性不足的问题，不少游戏引入了“二级密码”的概念，也称为安全码、超级密码。 在消费等敏感操作时进行二次验证，确保游戏资产安全。 类似的安全措施如设备锁、仓库锁等也可归入此类。 这样，即使幕后黑手得到了你的登录密码，他们也无法窃取游戏中的宝贵财产。 而且，由于二次密码是在游戏中输入的，因此具有较高的隐蔽性，因此黑客软件更难以窃取。 这相当于门锁了之后又增加了一个保险箱。 即使小偷进入房间，他仍然要面对这种更高级别的安全保护。

此举对于一些网络游戏来说仍然是重要的安全措施。 但二级密码操作繁琐，安全性仍存疑。 对于一些复杂、高端的黑客软件来说，还是没什么用处。 想象一下，当你的账户被黑客登录后，即使在二级密码的保护下重要财产没有丢失，黑客仍然可以造成一定的破坏，因为往往有专业的黑客，而擅长的黑客并不多。偷窃。 如果你不开心，清空你的好友列表，也是一件悲惨的事情。

还有一种措施，我们称之为“账户锁定”，可以通过二级密码锁定账户。 除非通过二级密码解锁被锁定的账号，否则，即使您持有登录密码，也将无法登录游戏。 而这种账户锁定往往可以在游戏网站的页面上进行操作，而不需要在游戏中进行操作，而且一些基于游戏客户端的黑客软件无法捕获二级密码。 这相当于在大门外又安装了一层防盗网。

然而，在专业人士眼中，账户锁定可能仍然只是一个笑话——因为在他们眼里，所有只需要固定密码的保护措施都是笑话。 防护措施也需要再次升级。

保密安全矩阵，简单有效的数字八卦

玩家牢记的所有密码都有被泄露的可能，除非有密码，否则连玩家都不知道该输入什么。 接下来要说的就是曾经风靡网络游戏安全的“秘密安全矩阵”。

这是一款金融级保密安全产品。 网上银行就使用了这种密保矩阵，通过序列号将游戏账号与密保矩阵绑定。 每次登录游戏时，都需要填写系统随机生成的矩阵位置，然后针对矩阵填写对应的数字。 也就是说，想要登录游戏，就必须先得到这个密码矩阵卡，而这个东西一般不会有泄露的风险，因为这个东西是真实存在的东西，而且每次都不一样。输入它。

回想起来，这种安全措施在游戏中的应用应该是从《天堂》开始的。 从实物历史数据来看，最初的矩阵卡牌是由两张卡牌组成，但矩阵的内容却是一模一样的。 但官方的建议是：在家床下藏一个，钱包里随身携带一个。 如果您丢失了随身携带的那张，您仍然可以使用家里的那张来解锁。 后来这种方法在网络游戏行业广为流传，原本的两张卡变成了一张。 如果您确实需要一份副本藏在家里，您可以制作一份副本、拍照并保留，甚至可以手工复印。 各大主流游戏厂商纷纷推出类似的产品，成为了那个时代游戏充值卡的标准配置。 在此基础上，有的还增加了其他安全措施，比如用鼠标操作虚拟键盘输入数字，使用随机排列、高速旋转的虚拟键盘等。 这些是针对原始键盘记录软件的对策。

电话安全，昙花一现

在保密安全产品不断升级的过程中，也出现了一些麻烦。 这是一个反例。 某些游戏引入了称为“电话安全”的功能。 工作流程大致是这样的。 玩家可以通过账号密码绑定安全手机。 一部手机可以绑定5个游戏账号，一个游戏账号可以绑定5部手机。 登录游戏进行敏感操作时，需要通过安全电话拨打特定号码。 这个过程有点类似于上面提到的二级密码的工作原理。

这样看来，安全性提高了不少，但经过一段时间的实际测试，用户评价并不理想。 部分反馈如下。 基于电信网络的服务能力有限。 据说在比赛高峰期，秘密电话无法接通。 这样一来，不但幕后黑手无法进入游戏，就连用户本人也被挡在了门外，仿佛养了一条恶狗，就是为了看家护院。 小偷被阻止了，但连主人也不能进屋。

另外，一个账号可以绑定5部手机，其中一部手机还可以用来解绑其他手机。 这就好比一把锁有5把钥匙，你拥有其中一把，但专业黑客可以通过账号和密码添加其他安全手机，就好像他们配备了另一把钥匙一样。 因此，电话安全逐渐被人们遗忘。

游戏U盾，游戏账号的物理钥匙

从矩阵码卡开始，游戏厂商开始紧跟银行业的潮流。 接下来出现的安全工具可以算是一把真正的物理钥匙——游戏U盾。 虽然U盾还没有在游戏行业广泛流传，但作为最接近物理钥匙的安全工具，它还是很有趣的。

U盾是一种网上银行电子签名和数字认证工具。 它内置微型智能卡处理器，采用非对称密钥算法对在线数据进行加密、解密和数字签名，确保在线交易的机密性、真实性和完整性。 性和不可否认性。 其作用是保障办理网上银行业务时的资金安全，避免黑客、假冒网站、木马病毒等各种风险。 它是处理网上银行业务的高级安全工具。

游戏安全U盾也有类似的功能。 连接电脑USB口，通过硬件设备实现账号保护功能。 与银行U盾类似，游戏U盾也需要安装专门的配套控件，然后使用U盾登录游戏。 U盾结构复杂，难以复制，借助物理硬件登录游戏，安全性大大提高。 不过很可能是因为U型盾的结构比较复杂，成本比较高，操作也非常繁琐，所以最终并没有被广泛采用。

游戏代币、金融级随机数

游戏代币的工作原理与秘密矩阵类似，但更安全并提供无法破译的随机数。 并且不能被拍照、复制或转录，从而避免了通过这些方式泄露的可能性。 这也是各银行主流的安全产品。

这个小型电子产品一直在改变随机数。 虽然它通常只是一串纯数字，但它实际上使用了一种名为 AES-128 的修改算法。 目前这项技术无论从加密算法还是数学理论方面基本上都没有解决方案。 继续发扬“玩家自己不知道”的安全原则。 这种秘密保护方式也被游戏厂商普遍接受，而这个物体也可以被视为游戏外设。 例如，一款仙女主题游戏将这个令牌做成了葫芦。

手机秘密保护，智能平台科学应用

当手机越来越普及，成为现代人生活的必需品时，手机也成为了安防产品的重要载体。 手机的隐私性和唯一性确实适合作为保密产品。 事实上，许多游戏和其他网站都使用手机号码作为保密安全的基础。

据考证，短信安全的历史其实非常悠久。 它在十多年前就被用作一种安全方法，但通常不用于日常登录。 仅在检索或更改密码时使用。 然而，随着智能手机的普及，基于网络通信的安全软件让智能手机得到了充分的发挥，于是一种新的安全方式诞生了。

手机安全令牌不仅具有物理钥匙扣令牌的所有功能，而且避免了物理令牌损坏、丢失、断电等不必要的麻烦，更容易普及。 不久前，中国战网也宣布停止使用矩阵安全方式。 目前来看，手机APP基本上代表了安全产品的最高水平。

基于手机平台的安全措施还是有很多的，扫码登录也是一种新的方法。 具体流程是通过手机APP登录关联账户，然后用手机扫码在PC端授权账户登录，无需在PC端输入账户密码。 因为手机的环境安全指数普遍被认为高于PC环境。 与之类似的还有手势密码、人脸识别、指纹识别等，它们实际上都是二级密码的一种形式。 无论哪种方式，通过移动终端与PC端的绑定和对应关系，将密码登录转移到安全强度更高的移动终端上，是智能终端平台在密码安全保护方面的新应用。

结语

游戏账号安全已经从史前时代的空谈色变到现在。 虽然账号安全问题仍时有发生，但往往是账号共享、账号买卖、游戏助推、野蛮女友等不当操作造成的。 由于黑客攻击而导致帐户被盗的情况很少发生。

即便如此，我们还是要敲响警钟，因为在账户安全攻防战中，即使是金融级别的安全措施仍然有可能被黑客解锁，然后技术人员会研究更高端的安全措施，然后解锁，然后升级……这场反复的战争可能永远不会停止。