1637. Identidad de la lección
1638. Objetivo de aprendizaje
Al terminar esta lección, podrás clasificar un escenario como un error ordinario, una oportunidad de abuso o una exposición de seguridad, e identificar a las partes afectadas.
1639. Por qué importa
Un defecto no es automáticamente un problema de seguridad. La pregunta importante es si alguien puede utilizar deliberadamente ese comportamiento para obtener una ventaja, saltarse un límite o causar daño. Esta distinción ayuda a dirigir el tiempo limitado de desarrollo y pruebas hacia los riesgos relevantes. También permite dar mejores instrucciones a la IA: en lugar de pedir una revisión de seguridad vaga, puedes señalar el límite de autoridad, el incentivo y la parte afectada que deben examinarse.
1640. Conocimientos previos
Debes poder describir un sistema del juego mediante sus reglas, estado, recompensas y progresión. La lección anterior, 4.5 L2 — Toma una decisión de balance reversible, estableció el valor de las decisiones acotadas y de los efectos observables. Aquí reutilizarás esa disciplina, pero el foco pasa del impacto en el balance al uso indebido y al daño.
1641. Concepto central
Una superficie de abuso es un punto de un sistema del juego en el que una persona puede utilizar intencionadamente una regla, interfaz, transición de estado o relación de confianza para obtener una ventaja injusta, saltarse una restricción prevista, exponer información protegida o causar daño a otra parte.
Cuatro preguntas hacen visible esa superficie:
- Autoridad: ¿Quién tiene permiso para decidir o cambiar este estado? ¿Quién controla realmente la entrada relevante?
- Incentivos: ¿Qué ganaría un jugador, atacante u otra parte al utilizar el comportamiento deliberadamente?
- Superficie de ataque: ¿Qué entrada, solicitud, acción del cliente, estado de cuenta, recorrido de datos o límite puede manipularse u observarse?
- Daño: ¿Quién pierde valor, acceso, privacidad, seguridad, confianza o control como consecuencia?
Un error ordinario puede producir un resultado no previsto sin ofrecer una ventaja deliberada significativa ni una capacidad dañina. Existe una oportunidad de abuso cuando el uso intencionado tiene un incentivo y un camino alcanzable. También hay una exposición de seguridad cuando se cruza un límite de autoridad, acceso, privacidad o control de cuenta que la parte no debería poder cruzar. Las categorías pueden solaparse; la clasificación es una herramienta de razonamiento, no una etiqueta permanente.
1642. Modelo mental
Usa el análisis A-I-S-D:
| Pregunta | Qué debes identificar | Evidencia que debes anotar |
|---|---|---|
| Autoridad | Quién debería tomar la decisión y quién la toma realmente | «El servidor debería decidir si corresponde la recompensa; el cliente informa actualmente el resultado». |
| Incentivos | La ganancia o influencia que crea el uso indebido | «Repetir la solicitud produciría moneda adicional». |
| Superficie de ataque | El camino que puede controlarse u observarse | «Una solicitud del cliente puede reenviarse con parámetros modificados». |
| Daño | La parte afectada y la consecuencia | «Los demás jugadores pierden valor relativo y la economía deja de ser confiable». |
Después asigna una clasificación principal:
- Error ordinario: comportamiento no previsto sin una ventaja deliberada clara, un salto de restricción o una violación de límites.
- Oportunidad de abuso: el uso intencionado puede producir una ventaja injusta o dañar un sistema compartido, incluso sin acceso no autorizado a datos protegidos.
- Exposición de seguridad: una parte puede cruzar un límite de autoridad, acceso, privacidad o cuenta que no debería poder cruzar.
El mismo escenario puede cambiar de categoría si cambian el sistema, los incentivos o los controles disponibles. Registra el razonamiento, no dependas únicamente de la etiqueta.
1643. Ejemplo concreto
Supón que una solicitud de completar una misión concede una recompensa. En el diseño previsto, el juego debería verificar la finalización antes de concederla.
- Si un error visual muestra dos veces la animación de recompensa, pero el saldo real aumenta una sola vez, probablemente sea un error ordinario. El resultado visual es incorrecto, pero el jugador no obtiene una ganancia adicional significativa.
- Si repetir la solicitud de finalización concede la recompensa más de una vez, existe una oportunidad de abuso. El camino de solicitud y el incentivo de la recompensa son claros; la economía y los demás jugadores resultan afectados.
- Si la solicitud también acepta un identificador de cuenta enviado por el cliente y permite que quien llama conceda recompensas a otra cuenta, existe una exposición de seguridad. El límite de autoridad está roto porque quien realiza la llamada puede afectar una cuenta que no debería controlar.
El síntoma visible puede parecerse en los tres casos. La clasificación cambia cuando examinas el uso deliberado, la autoridad y el daño.
1644. Error común
El error común es clasificar todo defecto reproducible como un problema de seguridad, o descartar una oportunidad grave de abuso porque no se expone información privada. La seguridad y el abuso no se limitan al robo de datos. Una duplicación explotable de recompensas, una debilidad de control de cuenta o un salto de autoridad pueden dañar a los jugadores y la integridad del sistema aunque todos los datos permanezcan privados.
Otro error es nombrar solamente el mecanismo técnico: «la solicitud puede repetirse». Una clasificación útil también indica quién se beneficia, quién resulta afectado y qué límite o valor compartido está en riesgo.
1645. Práctica guiada
Clasifica cada escenario utilizando el análisis A-I-S-D. En cada caso, escribe la autoridad prevista, el incentivo, la superficie de ataque, la parte afectada y una clasificación principal.
Escenario A — Desajuste cosmético
Un jugador cambia una opción gráfica, pero el menú muestra el valor anterior hasta que se vuelve a abrir. No cambia ningún estado de juego.
Escenario B — Reintento de recompensa sin límite
Un jugador se desconecta después de recibir una recompensa de misión, pero antes de que se guarde el estado de finalización. Al reconectarse, puede completar de nuevo la secuencia de recompensa.
Escenario C — Cambio de propiedad sin confianza
Una solicitud de actualización de perfil acepta un ID de cuenta proporcionado por el jugador. Quien realiza la llamada puede cambiar el nombre visible de cualquier cuenta sustituyendo ese ID.
En cada escenario, no propongas todavía una solución. Completa primero esta frase:
«Esto es principalmente un ___ porque ___. Las partes afectadas son ___.»
Tu decisión debe distinguir la consecuencia del detalle de implementación. Por ejemplo, «la solicitud puede repetirse» describe el camino; por sí solo no describe el daño.
1646. Validación / evidencia
Tu trabajo es suficiente cuando:
- cada escenario tiene una clasificación principal;
- la autoridad prevista y el punto de control real están explícitos;
- el incentivo se formula desde la perspectiva de quien podría abusar del sistema;
- la superficie de ataque nombra una entrada, transición de estado o límite concreto;
- se identifica la parte afectada; y
- la clasificación se apoya en una consecuencia, no solo en la existencia de un error.
Una respuesta sólida clasifica el Escenario A como error ordinario, el Escenario B como oportunidad de abuso y el Escenario C como exposición de seguridad. La explicación importa más que la etiqueta.
1647. Ideas clave
- Un error se convierte en una preocupación de abuso cuando su uso deliberado crea una ventaja, un salto de restricción o un daño significativo.
- La autoridad pregunta quién debería decidir; la superficie de ataque pregunta qué puede manipularse u observarse.
- Los incentivos explican por qué merece la pena intentar el uso indebido.
- El daño incluye pérdida de valor, progresión afectada, pérdida de privacidad, control de cuenta y reducción de confianza; no solo divulgación de datos.
- Describe las partes afectadas y el razonamiento antes de proponer una mitigación.
1648. Próxima lección
Continúa con 4.6 L2 — Escala lo que no puedes resolver de forma segura.
1649. Comprobación
Responde estas preguntas por tu cuenta antes de leer las respuestas.
¿Qué pregunta examina principalmente la autoridad?
Mostrar respuesta y explicación
Respuesta: ¿Quién debería decidir o cambiar este estado y quién puede hacerlo realmente?
Por qué: La autoridad compara quién debería tomar la decisión con la parte que realmente controla la decisión o el cambio de estado.
Una animación visual de recompensa se reproduce dos veces, pero el saldo real del jugador aumenta una sola vez. ¿Cuál es la clasificación principal más adecuada?
Mostrar respuesta y explicación
Respuesta: Error ordinario
Por qué: La presentación es incorrecta, pero el escenario no ofrece una ganancia adicional significativa, un salto de restricción ni una violación de límites.
¿Qué convierte una solicitud de recompensa repetible en una oportunidad de abuso y no simplemente en un error ordinario?
Mostrar respuesta y explicación
Respuesta: La repetición deliberada puede crear una ganancia injusta o dañar un sistema compartido.
Por qué: Una oportunidad de abuso requiere un camino alcanzable, un incentivo deliberado y una ventaja injusta o efecto dañino significativo.
¿Qué afirmación identifica mejor una exposición de seguridad?
Mostrar respuesta y explicación
Respuesta: Quien realiza una llamada cambia el perfil de otra cuenta sustituyendo el identificador de cuenta en la solicitud.
Por qué: Quien realiza la llamada cruza un límite de autoridad de cuenta y puede modificar un estado perteneciente a otra cuenta.