Deekay

Hallo php.de,

nachdem ich schon lange nicht mehr hier im Forum unterwegs war, komme ich jetzt doch wieder mit ein paar Fragen zu euch.

Ich bin, wie so viele andere bestimmt auch, mal wieder dabei ein Browsergame zu programmieren. Über diese Tatsache braucht allerdings nciht diskutiert zu werden, meine Überlegungen drehen sich gerade hauptsächlich um Bots in Browsergames und allgemeine Sicherheitsfragen.

Meine hauptsächliche Frage ist also erstmal, wie verhindert man überhaupt einen Bot und wie erkennt man später einen?

Ich könnte mir vorstellen, dass man mit einem guten Zahlencode schon einige Bots verhindern kann, wenn die da nicht auch schon so weit sind, dass sie diese selbstständig erkennen können.
Andernfalls könnte man beim Login oder zwischendurch im Spiel Fragen stellen, die, falls der Bot nicht schon alle gespeichert hat, nur ein Mensch beantworten kann.
Natürlich sollen die Spieler aber nicht zu stark genervt werden mit Zahlencodes oder ähnlichem.

Erkennen könnte man einen Bot an stark regelmäßigen Seitenanfragen oder starrem Verhalten, allerdings müsste dafür das ganze Verhalten erstmal geloggt werden.

Das sind jetzt erstmal nur ein paar kleine Gedanken, die mir gerade eingefallen sind, wer Lust hat, kann gerne mit mir diskutieren oder andere Vorschläge machen.

Vielen Dank schon mal

Mister Ad

mepeisen

Kurz gesagt: Gar nicht.

Auffälliges Verhalten könnte sein:
- Extrem schnelle Seitenabfragen
- Starre Rhythmen
- Stark ähneldes Verhalten
- 24/7 Nutzung

Im Endeffekt können Bots das jedoch insbesondere bei Browserspielen gut umgehen. Beispielsweise durch "echte" Mausbewegungen und dadurch bedingten Verzögerungen bei den Klicks, durch zufällige Verzögerungen. Im Endeffekt ist der Kampf dagegen fast sinnlos, weil du nicht alle Bots als solche erkennst. Ich hab schon Bots gesehen, die steuern den Explorer/Firefox fremd. Das kannst eigentlich gar nicht mehr erkennen.

Die Messlatte hoch zu legen ist schwierig, willst du nicht durch permanente Sicherheitsabfragen deine User nerven.

Aber was wollen Bots?
-> Vorteile im Spiel
Daher frage doch, was Vorteile im Spiel sind, die ein normaler Spieler nicht erreichen kann. Und konzentriere dich genau da drauf. Was besseres fällt mir dazu nicht ein. Ein Bot aussperren zu wollen, der nichts besser macht als ein normaler Spieler, halte ich für sinnlos. Lass ihn halt machen.

__________________
www.php-maven.org PHP und Maven vereint: Build/Deploy/Produktion/Konfiguration, Projekt Management, CI, PHPUnit, zahlreiche Frameworks
Twitter @ https://twitter.com/#!/mepeisen und Facebook @ http://t.co/DZnKSUih

eagle275

exakt - im Regelfall wird / werden der /die Bots nicht isoliert auftreten, sondern sind Farm-Accounts für einen / mehrere Spieler

daher : gibt es immer wieder "einseitige" Handel zwischen den Accounts (also werden massiv Ressourcen abgezogen ohne Gegenleistung )
gibt es auffällige Parallelen bei den IP-Adressen UND Login-Zeiten UND diesen Handeln ...

das kann man leider nicht unbedingt automatisiert erkennen, sondern nur beim Vergleich der Logdateien und co ....

da man aber auch dabei noch tricksen kann (DSL-Kunden sind bevorteilt, weil selbst kurzzeitige Trennungen der Internetverbindung bei einer Neu"Einwahl" zu einer neu vergebenen IP-Adresse führen .. )

du solltest bei sowas aber gründlich prüfen .. es soll ja Arbeitgeber geben, die ihren Angestellten auch die private Internetnutzung gestatten . und dann wären gemeinsame IP-Adressen nur Indizien, dass eben Arbeitskollegen gemeinsam spielen...

Gemeinhin gilt aber bei Browsergames die größe Sorge NICHT BOTS, sondern unerwünschten Mehrfach-Accounts, weil man sich so eben Vorteile bei der Rohstoffversorgung verschafft

__________________
"Irren ist männlich", sprach der Igel und stieg von der Drahtbürste

Asterixus

Es ist viel schwerer, zu analysieren, ob ein Bot beutzt wird, als das Spiel für Bots unbenutzbar zu machen.
Der erste Punkt ist es, die HTML-Struktur bewusst zufällig jede Woche ändern, was auch automatisch gemacht werden kann (Layout sollte aber immer dasselbe sein).
Wenn du JavaScript voraussetzt, kann man dank dessen sehr viel loggen. Den JavaScript-Quellcode erst unlesbar machen (Zeilenumbrüche löschen, Variablennamen ohne Bedeutung benutzten - lange Namen, bei denen vielleicht nur ein Buchstabe ändert oder ganz kurze Namen, nicht nötige Semikolons löschen und, mein persönlicher Favorit, viel kritischen Code in den Code eines JS-Framework einschleusen).
Kritisch ist zum Beispiel das Loggen der Mausbewegungen (stichprobenmäßig) und wenn es keine/ungenügend gibt, ist es ein Bot. Außerdem ist es wichtig, so viel das JS-Framework zu benutzen, wie möglich. Bei der Benutzung von Ajax, keine statische Dateinamen aufrufen
Man sollte auf jeden Fall dem Botentwickler keine freie Sekunde gönnen, er soll an ständigen Bugfixes nur verrecken.
Und zu guter Letzt: bei mehrfachem Verdacht, ein Captcha!

Es ist wichtig, alles zu loggen, die Klickintervalle, die Seitenaufrufe usw.

Ein anderes Problem ist Greasemonkey, das man nicht ohne Weiteres nachweisen kann, man kann es eigentlich nur behindern. Man sollte sic nur ein paar Dinge bewusst sein: Greasemonkey wird nach dem window.load-EventHandler ausgeführt und es benutzt als solches nicht den bestehenden JS-Code.

Und wie schon gesagt: hohe, sehr regelmäßige Aktivität ist ein großer Verdachtsfaktor; in Verbindung mit bekannten Proxys, schon fast ein Beweis.


Eines steht fest: Ein Antibotsystem sollte von Anfang an eingeplant werden und benötigt ein ständiges Handeln beider Seiten (Spiel und Bot).
Dessen Entwicklung ist meist zehnmal komplexer als die, des Spiels.

Es tut mir Leid, dass dieser Beitrag etwas unstrukturiert ist, habe noch keinen Kaffee gehabt

mepeisen

@Asterixus: Das ist genauso aufwändig und in vielen Fällen kaum zielführend. Warum? Damit erwischt du vielleicht das Script-Kiddi in der Eckkneipe. Die kommerziellen Bots definitiv nicht. Wie gesagt: Ich kenne Programme, die simulieren echte Mausbewegungen und steuern den Browser fern. So Programme kannst du auch mit HTML-Quelltextänderungen oder JS-Änderungen nicht aussperren. Du wirst an diesen permanenten Änderung ebenfalls kein Spass mehr haben.

Zudem sind dir die Bot-Entwickler immer einen Schritt voraus: Sie kennen deine Webseite, deine Javascripts usw. Sie wissen, wie das Spiel funktioniert. Du hingegen fischt im Trüben, schießt mit Kanonen auf Spatzen und hast keine Ahnung ob deine Änderungen etwas bewirken, weil du keine Ahnung hast, wie der Bot funktioniert, wo er ansetzt und was ihm probleme macht. Es gibt zig Varianten von Bots...

Deswegen nochmal: Das wichtigste ist die Beantwortung der Frage: Was genau will ich schützen.
Bots sind aus zwei Gründen nervig:
1. Traffic/Last
2. Spielvorteile

Den Traffic und die Last kann man zwar teilweise vernachlässigen ab einem bestimmten Grad nicht mehr. Deswegen: Bei schnellen/häufigen Seitenaufrufen, egal ob Bot oder nicht, reagieren. Sowas entsteht auch ohne Bot schnell, wenn beispielsweise bei einem Spiel regelmäßige "Auswertungs-Cronjobs" gefahren werden und die Uhrzeiten den Spielern bekannt sind. Die Suchtis werden derart oft in kurzen Intervallen auf Aktualisieren klicken, dass dem Server schwindlig wird.

Das zweite ist der Spielvorteil. Das ist schwer einzuschätzen und kaum zu vermeiden. Weder durch Asteriux Vorschläge noch durch andere techniken. Wo Asteriux definitiv Recht hat: Analog den Viren-/Trojanern ist das immer ein Wettrüsten. Die, die es drauf anlegen, das Browsergame durch Bots abzufarmen, die werden irgendwann einen Weg finden. Und Asteriux hat auch Recht mit der Andeutung, dass es irgendwann einen Punkt gibt, wo sich die Bot-Entwickler verarscht fühlen und keinen Bock mehr haben.
Aber: Bots haben immer ein Ziel. Ein Bot, der die Webseite nur ab und zu anguckt um Infos auszulesen, der ist irrelevant. Also liegt die Konzentration auf Bots, die beispielsweise in einem Online-Rollenspiel Gegenstände erfarmen und überteuert im AH anbieten um dann per eBay virtuelle Spielinhalte zu verticken.

Nehmt Blizzards WoW beispielsweise. Es wäre ein leichtes für Blizzard, die Technik dahingehend zu ändern, dass sie die Netzwerkprotokolle so manipulieren, dass Bots es extrem schwer haben. Sie sind davon abgekommen. Wieso? Weil es nichts hilft. Das Spiel ist so attraktiv für Bots und eBay-Verkäufer dass die Techniken immer ausgereifter werden. Was macht Blizzard? Typische Farmbewegungen der Bots dadurch vermeiden, dass sie riesige Monster, die ein kleiner Bot nicht besiegen kann, ein Gebiet ablaufen lassen. Die Spieler haben zusätzlichen Nervenkitzel und weichen dem Monster aus. Die Bots sterben und sind irgendwann ineffektiv. Andere Browsergames bietet einen eigenen virtuellen Gegenstandsverkauf an. Dadurh sperren Sie eBay-Verkäufer aus und haben eine zusätzliche Einnahmequelle.
Was ich sagen will: Es gibt relativ einfache Mittel und Wege, Bots unbrauchbar zu machen. Wenn man nur überlegt, an welcher Ecke einen Bots nerven.

Das womöglich nervigste sind eh die Spam-Bots, die irgendwelche Pornoseiten bewerben.

__________________
www.php-maven.org PHP und Maven vereint: Build/Deploy/Produktion/Konfiguration, Projekt Management, CI, PHPUnit, zahlreiche Frameworks
Twitter @ https://twitter.com/#!/mepeisen und Facebook @ http://t.co/DZnKSUih

Capfly

Guck dir das mal an: Klick

__________________
MfG
~Capfly
Jetzt NEU! Cpix & Wbits Katahlan.de - Das Browsergame

Asterixus

Capfly, wir reden hier nicht über spezialisierte Bots, deren Schwerpunkt die Lösung eines Captchas ist. Wir reden hier über Bots, die Aktionen in Browsergames simulieren.

@mepeisen: Einer der Marktführer in der Browsergamebranche ist Travian. Den Travian-Bot-Marktführer habe ich mir mal unter die Lupe genommen. Und der ist nicht einmal ansatzweise so intelligent, wie das, was du beschreibst. Diesen Kram muss man nämlich erst mal entwickeln.
Außerdem musst du bedenken, dass man sehr gut analysieren kann, was ein Bot macht, wenn man ihn einfach mal als Spielbetreiber einsetzt auf privaten Servern.

Meine Maßnahmen genannten (und andere, die ich nicht nennen will) sind immer kleine Bausteine gegen Bots.

Das Problem bei Anti-Bot-Maßnahmen ist, dass die Botentwickler auf den Bot spezialisiert sind und möglicherweise nichts anderes tun, während Programmierer bei einem Spiel oft nicht nur Anti-Bot-Systeme integrieren. Es verlangt auch viel mehr Entwicklung und vor allem Analyse um sich gegen solche Bots zu verteidigen.

mepeisen

Nö. Mehr will ich dazu aber nicht sagen. Nur soviel: Ich werde dafür bezahlt, mich in gewissen Branchen auszukennen und gewisse Bots zu kennen. Nicht unbedingt Browserspiele. Egal. Lassen wir das. Es gibt deutlich intelligentere Systeme. Glaube das einfach mal. Und genau die aufzuspüren ist extrem schwer. Der Weg von gewissen anderen Webseiten hin zu Browsergames, ob der gemacht wurde weiss ich nicht aber die Software ist da.

Dazu müsstest du ihn haben. Das ist nicht immer leicht und es wird auch noch erschwert, da du ihn kennen müsstest, in der Szene drin sein müsstest. Ich rede wie gesagt nicht von Skript-Kiddies oder frei downloadbaren Software-Teilen.

Die Holländer wollen einen Berg bauen. Nun hat ein schlauer Mensch ausgerechnet, wie lange es dauern würde, das mit Legosteinen zu bauen. Wnen jeder Mensch einen Baustein pro Sekunde plaziert, wäre die gesamte Menschheit 107 Jahre lang beschäftigt. Das Problem bei kleinen Bausteinen: Es gibt zuviele davon oder man sieht die 50 anderen Bausteine nicht rechtzeitig oder gar nicht.

that's it.

Es ist müßig, zu diskutieren über ungelegte Eier. Bei einem Browsergame auf alle Eventualitäten vorzubeugen grenzt an Paranoia. Aber von vornherein die eigenen Schwachpunkte zu kennen und gezielt diese Schwachpunkte auszumerzen, sei es durch fachliche Änderungen oder durch technische, das spart enorm Zeit und Ärger.
Wie gesagt: Ein Bot, der sich keinen Spielvorteil verschafft, das ist in meinen Augen nichts Schlimmes.

Ein wirksames Mittel ist beispielsweise die Anzahl der möglichen Aktionen pro Tag zu begrenzen. Was nützt dir dann ein Bot, wenn du gleiches auch manuell erreichst? Er hat keinen Spielvorteil mehr. Oft sind es manchmal einfache Dinge, an die man nicht denkt.

Ich hab Spiele gesehen, Aufbauspiele, da war es effektiv egal, um wieviel Uhr du deine Aktionen gemacht hast. Trotz Quasi-Echtzeit war das Spielsystem so ausgeklügelt, dass du nur eine begrenzte Anzahl Aktionen pro Tag zur Verfügung hattest und dass du die morgens, mittags oder abends machen konntest ohne Nachteile zu haben. Bei sowas sind Bots sinnfrei geworden und dann gibt es sie auch kaum.

__________________
www.php-maven.org PHP und Maven vereint: Build/Deploy/Produktion/Konfiguration, Projekt Management, CI, PHPUnit, zahlreiche Frameworks
Twitter @ https://twitter.com/#!/mepeisen und Facebook @ http://t.co/DZnKSUih

Renner

Gackern ohne Eier zu legen ist in meinen Augen eine unnötige Erhöhung des Spannungsbogens. Meine Neugier ist nun derartig gestiegen, dass ich es beinahe interessanter fände, da hinter zu kommen, anstatt mir Gedanken zum eigentlichen Thema zu machen. Eventuell könnte man ja ein Ratespiel draus machen.

Dennoch zum eigentlichen Thema, welches in meinen Augen gelöst ist:

1) Bezüglich der entstehenden Last, die durch Bots entsteht, sollte man eine Schranke einbauen, die eine zu exzessive Nutzung des Dienstes einschränkt. Diese sollte jedoch so gestaltet werden, dass man "echte" Nutzer nicht aussperrt. Dazu war der Link, den Capfly gepostet hat, meines Erachtens gar nicht so unangebracht (Stichpunkt: Zeit).

2) Ich halte es für absolute Zeitverschwendung sich Gedanken zu machen, wie man darüber hinaus Bots abwehren kann. Da bin ich absolut bei mepeisen, indem er sagt, man solle sich darauf konzentrieren, den Dienst so anzupassen, dass durch die Verwendung eines Bots keine Vorteile entstehen. Wenn man einen Dienst hat, der nur auf Aktivität basiert und keinerlei "Spielintelligenz" fordert, dann wird's natürlich schwer. Ist dann aber auch gleichsam eine Bewertung der Qualität des Dienstes.

Deekay

Da bin ich auch mal wieder.
Nachdem ich nun paar Tage nicht hier drin war, musste ich mir erstmal alles durchlesen und habe nicht mehr so den Überblick

Aber das scheint mir auf jeden Fall eine gute Gesamtlösung zu sein:

Vielen Dank für eure Antworten, wenn es mal nicht so spät ist, werde ich mir diese noch einmal in Ruhe durchlesen.