心动网络游戏安全评议要点

手机游戏客户端/前端安全

  • 客户端如有服务端不验证或难以验证的数据，需要具备防内存篡改机制

    手机游戏可参考 心动安全SDK(email: cto@xindong.com 索取，请注明项目并抄送运营确认) 。也可以选择 http://gcloud.qq.com/product/mtp

  • 客户端本地数据需要加密

    包括素材、设置、关卡配置文件等均需具备加密机制。

  • 需要具备防破解机制

    客户端被反编译的风险除了发现漏洞、刷资源和被第三方制作外挂之外，还有可能被嵌入病毒、恶意扣费SDK、广告SDK，由此可能带来玩家账号密码被盗，和财务损失等等。所以应该慎重对待，在保证兼容性和稳定性的同时，选用第三方工具，例如：

服务端/后端安全

  • 通讯协议需要具备防重发设计

    推荐使用 nonce 。参考 Wiki 中文

  • 通讯内容需加密

    加密强度和复杂度要高

  • 防加速齿轮

    心跳包中加入可靠的时间信息并做出判断。记录并定制定期惩罚的机制。

  • 通讯协议需具备校验通讯内容的机制

    每个数据包附带校验码，防止篡改。

流程安全

  • 有白名单（IP和账号），更新有流程管理控制

通管局安全

  • 游客不能聊天发言

  • 所有用户隐私信息必须加密保存

  • 所有服务器上的日志要求固化存储不能被修改

  • 用户必须实名认证