хабрахабр

Название

Размер

На фоне октябрьских проблем с доступностью социальной сети Facebook и взлома стриминговой платформы Twitch новость о том, что из сервиса цифровой дистрибуции GOG была удалена Hitman — Game of the Year Edition, прошла незамеченной. А между тем это событие является одной из важнейших побед сообщества геймеров, хотя его значимость оценит далеко не каждый. Ведь, как бы громко это ни прозвучало, именно произошедшее 8 октября 2021 года определило то, как именно мы с вами будем играть в видеоигры на ПК в ближайшие годы.

За что «убрали» Хитмана? Хронология событий

После не слишком удачной Hitman: Absolution, увидевшей свет в 2012 году, IO Interactive вознамерилась вернуться к истокам, отказавшись от множества спорных нововведений пятой части. Как и в классических играх серии, в Hitman 2016 года, по сути ставшей мягким перезапуском франшизы, экшен-составляющая отошла на второй план, а core-геймплей игры вновь оказался сосредоточен вокруг скрытного устранения целей всеми возможными способами.

Несмотря на избранную модель дистрибуции (изначально игра распространялась по эпизодической схеме, что понравилось далеко не всем), старый новый Hitman был тепло встречен как игроками, так и критиками, ведь игра вновь стала тем, чем и была изначально — единственным в своем роде симулятором наемного убийцы, в котором ваш успех зависит не от рефлексов, а от умения продумывать каждый шаг и грамотно использовать окружающую обстановку.

Для предотвращения нелегального распространения в Hitman была встроена популярная в настоящее время среди разработчиков компьютерных игр система защиты Denuvo, однако уже 20 июня 2017 года вышел патч, полностью убирающий DRM из игры. Тем не менее Hitman так и не стал в полной мере DRM-free, поскольку для полноценного прохождения сингла все еще требовалось постоянное интернет-подключение.

Здесь необходимо сделать важное пояснение для тех, кто не играл в Hitman. Игра разделена на обособленные миссии, открывающиеся одна за другой по мере прохождения сюжета. Хотя основная кампания не предполагает ни прямого, ни косвенного взаимодействия с другими игроками, изначально даже для того, чтобы просто запустить игру, вам требовалось онлайн-соединение. Патч 1.7.0, выпущенный 16 ноября 2016 года, лишь немного улучшил ситуацию: спустя полгода после релиза Hitman получил поддержку автономного режима, однако крайне урезанного.

Формально вы действительно можете пройти игру без подключения к серверам IO Interactive, но при этом будете максимально ограничены в средствах реализации задуманного, что неприемлемо для проекта, в основе которого лежит вариативность прохождения. Все дело в том, что на онлайне завязана прогрессия игрока, от которой, в свою очередь, зависит разблокировка новых видов оружия, приспособлений, костюмов для маскировки и стартовых точек, то есть всего того, что позволяет выполнить одно-единственное задание десятками разных способов. Таким образом, без интернет-подключения игроку оказывается доступно от силы 10–15% сингловой (то есть априори не нуждающейся в онлайн-функциях) кампании, что как раз и является формой неавтономной DRM.

Притом весьма недружелюбной. Если в ходе прохождения очередной миссии у вас пропадет интернет-соединение, вам придется перезапускать игру, лишившись при этом доступа ко всей открытой ранее экипировке. И, как это часто бывает, пиратам в данном случае повезло значительно больше, чем обладателям лицензии, поскольку создатели «народных демоверсий» достаточно быстро решили проблему с привязкой прогресса к онлайн-подключению.

Несмотря на недовольство геймеров, IO Interactive так и не отказалась от данной системы, имплементировав завязанную на онлайне прогрессию и в последующие части франшизы. Но вот 22 сентября 2021 года Hitman появился на площадке цифровой дистрибуции GOG в формате издания «Game of the Year Edition», включающего весь контент 1-го сезона, да еще и со скидкой 70%! Казалось бы, повод обрадоваться, ведь раз GOG принимает в свой магазин исключительно игры без DRM, значит, разработчики наконец-то услышали игроков, добавив в игру полноценный офлайн-режим, и, быть может, впоследствии аналогичные патчи выйдут и для Hitman 2 и 3. Однако все оказалось куда прозаичнее.

IO Interactive не стала заморачиваться с доработкой проекта, оставив все как есть, так что по сути клиенты GOG получили в свое распоряжение нечто вроде расширенной демки, каковой, собственно, и является Hitman без онлайн-подключения. Разумеется, никто не мешает установить GOG Galaxy и наслаждаться полной версией игры, но в этом случае теряется весь смысл покупки. Ведь проект «Good Old Games» изначально позиционировался как магазин для тех, кто любит и ценит видеоигры, кто хочет, как в старые добрые времена, собрать полноценную коллекцию и не зависеть от лаунчеров, проблем с интернет-соединением или доброй воли издателя, который в один прекрасный день может убить привязанную к онлайну игру, попросту отключив серверы. 

Результат вполне закономерен: спустя сутки после релиза рейтинг Hitman в GOG побил антирекорд, опустившись до 1,4 балла из 5 возможных. Главным поводом для недовольства игроков, как и следовало ожидать, оказалась встроенная в дистрибутив онлайн-DRM.

Надо отметить, что в GOG все игры, требующие интернет-подключения для использования тех или иных функций (например, доступа к мультиплееру), имеют соответствующую пометку, однако при добавлении в сервис Hitman разработчики тактично умолчали об особенностях билда. Чуть позднее примечание в описании все же появилось, но и там IO Interactive слукавила, указав, что онлайн требуется лишь для запуска пользовательского (Контракты) и ивент-контента (Ускользающие цели), а также Эскалаций. Надо ли говорить, что столь неуклюжие попытки скрыть реальное положение дел лишь подлили масла в огонь?

Ответ администрации самого магазина не заставил себя долго ждать, однако первая реакция официальных представителей GOG усугубила ситуацию еще больше. Один из сотрудников сервиса под ником chandra сделал весьма противоречивое заявление следующего содержания:

«Благодарим всех, кто обратил внимание на проблему. Мы изучим вопрос и сообщим о результатах проверки в течение ближайших недель. Все, кто приобрел Hitman — Game of The Year Edition и кого по тем или иным причинам не устраивает текущая версия игры, могут воспользоваться функцией возврата средств.

В то же время хотим напомнить, что хотя мы всегда открыты для обсуждения, мы не потерпим ревью-бомбинга и будем удалять отзывы, которые не соответствуют рекомендациям по написанию пользовательских обзоров».

Второй абзац явно оказался лишним: геймеры восприняли данный пассаж не иначе как косвенное признание в сговоре между GOG и IO Interactive. Впоследствии chandra даже пришлось разъяснять, что речь идет не о попытках выправить негативную оценку, а лишь о сообщениях, противоречащих требованиям площадки (например, содержащих оскорбления в адрес разработчиков), однако это уже мало кого убедило.

Конфликт разрешился лишь 8 октября: в GOG не просто сняли с продаж злополучную игру, но и публично признали собственную ошибку, принеся извинения геймерам:

«Сегодня мы удалили Hitman — Game of The Year Edition из каталога GOG. Мы не должны были допускать к продаже игру в ее текущем виде, на что справедливо указали наши клиенты.

В настоящий момент мы все еще ведем переговоры с IO Interactive по поводу релиза. Также мы бы хотели извиниться за возникшую путаницу и ваше недовольство, вызванное сложившейся ситуацией. Мы вас подвели и хотели бы поблагодарить за то, что вы подняли эту тему. Это показывает, насколько вы неравнодушно относитесь к GOG и тому, что мы делаем».

Подобный финал можно без преувеличения назвать идеальным: геймеры одержали полную победу в неравной борьбе, а GOG при этом удалось сохранить лицо в глазах сообщества. Но главным итогом противостояния все же стало удаление из магазина Hitman, ведь если бы игра осталась в каталоге сервиса, это создало бы чрезвычайно опасный прецедент.

GOG — последний оплот цифровой свободы современного геймера

На сегодняшний день именно GOG является ключевой платформой, где вы все еще можете купить игры без встроенной DRM. Да, помимо магазина от создателей «Ведьмака», существуют и другие сервисы вроде itch.io или Indie Gala, однако их ассортимент куда беднее, ведь размещаются там преимущественно инди-проекты, тогда как в каталоге GOG можно отыскать тайтлы буквально на любой вкус: помимо творений независимых разработчиков, здесь широко представлены хиты прошлых лет, игры от студий второго эшелона и даже блокбастеры, пусть и выходящие с некоторым запозданием.

При этом «Good Old Games» позволяет вам именно приобрести лицензионную копию игры в собственность, а не взять в бессрочную аренду, как де-факто и происходит на других площадках, где каждая покупка остается намертво привязана к аккаунту и требует по крайней мере единоразовой активации на ПК если не самой игры, то лаунчера для ее запуска (а иногда и того и другого сразу, и хорошо еще, если лаунчер только один). Наряду с акцентом на классических тайтлах, о чем красноречиво говорит расшифровка аббревиатуры GOG, полное отсутствие DRM в продаваемых играх является основой маркетинговой стратегии магазина, вынужденного конкурировать с естественной монополией Steam. 

Размещение Hitman в каталоге GOG могло стать той точкой невозврата, после которой в сервисе цифровой дистрибуции стало бы появляться все больше и больше подобных «огрызков», требующих обязательного интернет-подключения для полноценного доступа к сингл-плееру. А вслед за ними подтянулись бы игры со встроенной Denuvo, собственными лаунчерами и прочими «прелестями» современного ПК-гейминга.

И казалось бы, что здесь такого? Раз вы используете онлайн-магазин, то интернет для вас уж точно не является проблемой. К тому же DRM создаются для борьбы с пиратством, а значит, честному покупателю ровным счетом не о чем волноваться. Увы, это не так. По иронии судьбы средства защиты от нелегального копирования доставляют куда больше неудобств обладателям лицензионных копий, в то время как пираты спокойно играют, не зная забот. Ведь если подумать, одно лишь отсутствие встроенной DRM обеспечивает владельцу игры массу преимуществ.

Приобретая игру без DRM, вы будете испытывать меньше проблем с производительностью.

И в случае с такими тяжеловесными системами защиты, как Denuvo, выигрыш может оказаться действительно значимым. Отличным подтверждением влияния DRM на производительность игр являются исследования автора YouTube-канала Overlord Gaming (на данном аккаунте вы сможете найти множество подобных видео).

В своих роликах блогер наглядно демонстрирует, что использование Denuvo всегда негативно отражается на производительности игр, причем в ряде случаев влияние защиты на скорость загрузки и частоту кадров может оказаться катастрофическим. Одним из самых показательных является пример Prey — иммерсив-сима, выпущенного Arkane Studios в 2017 году. Только вдумайтесь в эти цифры: на одном и том же оборудовании дистрибутив игры без DRM загружается всего за 17 секунд, тогда как версия с установленной защитой стартует 54 (!) секунды, то есть падение производительности достигает рекордных 317%!

С фреймрейтом дела обстоят также довольно печально: преимущество чистой версии по среднему FPS составляет 21%, по минимальному — 48%, а по показателю 0,1% low — 779%. Для слабого компьютера подобная разница может оказаться фатальной, сделав Prey абсолютно неиграбельной.

Аналогичную картину можно увидеть в Dragon Quest IX, Devil May Cry 5, той же Hitman и множестве других проектов. Игры же вроде Detroit: Become Human, в которых влияние Denuvo на производительность не превышает 5%, являются скорее счастливым исключением из правил. 

Одним словом, Denuvo — наглядная иллюстрация того, как издатели компьютерных игр пытаются решать свои проблемы за счет геймеров. Ведь если вас не устраивает FPS, то по заветам Сильвейна Троттье из Ubisoft вы всегда можете купить новую видеокарту, не так ли? Особенно иронично этот «добрый совет» звучит сейчас, когда по всему миру наблюдается тотальный дефицит видеоускорителей.

Приобретая игру без DRM, вы не будете привязаны к цифровому магазину.

Представить себе, что тот же Steam вдруг ни с того ни с сего закроется, довольно сложно. С другой стороны, если бы менеджмент крупных компаний никогда не ошибался, на рынке смартфонов сегодня безраздельно доминировала бы Nokia, а не Apple, а самой продаваемой в мире игровой консолью была бы, скажем, Dreamcast 4, а вовсе не PlayStation 5. Впрочем, чтобы лишиться своей игротеки, достаточно получить бан в сервисе цифровой дистрибуции, и для этого вовсе не обязательно быть читером.

Например, в 2018 году Sony забанила игрока из Мексики за «оскорбительный» ник Kike_0615 (то есть Кике — сокращение от Энрике, настоящего имени геймера), интерпретировав данное слово как используемое в США расистское ругательство.

Обращения в техническую поддержку PSN и попытки объясниться ожидаемо ни к чему не привели, и только пост на Reddit с последующим привлечением профильных СМИ возымел результат: аккаунт Энрике был разблокирован, и Sony даже разрешила геймеру оставить прежний никнейм, однако парень решил все же его сменить, что называется, «от греха подальше».

Не стоит сбрасывать со счетов и технические неполадки. Пусть случаев массовой потери аккаунтов пока еще не было, но от крупных сбоев, как наглядно показал пример Facebook, не застрахован никто. Мелкие же неполадки происходят в сервисах цифровой дистрибуции не так уж и редко: тот же Steam «падает» в начале практически каждой крупной распродажи.

А иногда у пользователей сервиса пропадают игры. Один из таких инцидентов произошел 4 августа 2020 года: в этот день после планового технического обслуживания многие геймеры обратили внимание на то, что с их Steam-аккаунтов исчезла часть игр и DLC, причем приобрести ту или иную позицию повторно пользователи также не могли, хотя кнопка «Purchase» и была активна. Проблема сохранялась в течение нескольких часов, после чего все нормализовалось.

Поклонникам игровых консолей также периодически не везет. Например, начиная с мая 2020 года после технических работ, затронувших базу данных PSN, с аккаунтов пользователей сервиса начали пропадать игры, приобретенные в PlayStation Store, причем вместе с ними исчезали и соответствующие записи из истории транзакций. При попытке восстановить электронные лицензии на приобретенные игры приложение магазина выдавало ошибку CE-33946-5.

Sony признала сбой лишь в начале июля, посоветовав игрокам переустановить PlayStation Store, после чего все должно было нормализоваться. Если же это не помогало, геймерам, которых затронула данная проблема, предлагали обратиться в техподдержку, предоставив копии электронных чеков. Как нетрудно догадаться, сбой не коснулся обладателей дисковых изданий.

Эти примеры наглядно демонстрируют, что абсолютно любой владелец игротеки в Steam, PSN, Microsoft Store или на другой платформе может в одночасье лишиться своей коллекции. Чего, закономерно, никогда не произойдет с пользователем GOG, который заблаговременно сделал резервные копии.

Приобретая игру без DRM, вы не будете зависеть от разработчика, издателя или поставщика самой защиты.

Здесь сразу вспоминается произошедшее с Mafia: The City of Lost Heaven. Стремясь воссоздать атмосферу 30-х годов XX века, чешская студия Illusion Softworks включила в саундтрек игры немало классических композиций Дюка Эллингтона, Луи Армстронга, Джанго Рейнхардта, братьев Миллс и многих других джазовых исполнителей. Когда срок лицензии на использование музыки истек, игру попросту изъяли из продажи. Однако 20 октября 2017 года Mafia вновь вернулась на виртуальные полки, но уже без музыкального сопровождения: все, что в ней осталось, — несколько оригинальных треков, написанных для проекта чешским композитором Владимиром Шимунеком.

Аналогичная судьба постигла и Grand Theft Auto IV: в 2018 году из игры вырезали множество лицензированных треков, которые можно было слушать на внутриигровом радио во время поездок по городу. А в январе 2020-го игру и вовсе убрали из Steam, поскольку Microsoft прекратила поддержку сервиса Games for Windows Live, также выполнявшего функцию DRM, и новые копии игры более нельзя было активировать.

К счастью, в данном конкретном случае все обошлось: вскоре RockStar удалила из игры злополучный GFWL и вернула GTA IV в продажу вместе с дополнениями Episodes from Liberty City, также добавив новую музыку для радиостанций. Но так везет, увы, отнюдь не каждому проекту.

Вспомним тот же Darkspore, в котором была реализована форма самой что ни на есть драконовской DRM: онлайн-подключение требовалось даже для прохождения сингла, причем интернет был необходим не только для проверки лицензии, но и для функционирования игры. Electronic Arts прекратила ее поддержку 1 марта 2016 года, отключив серверы, после чего единственным способом поиграть в Darkspore остался локальный сервер Resurrection Capsule, разработанный фанатами. Однажды судьбу данного проекта разделит и PC-версия Diablo 3, для функционирования которой также необходимо подключение к серверам Activision Blizzard. А вот первая часть знаменитой эпопеи, которая сегодня продается в GOG, продолжит радовать геймеров, поскольку такой привязки не имеет.

Серьезной проблемой может стать и обычная онлайн-активация, как это произошло с Tron: Evolution. Правообладатель в лице Disney решил сэкономить на встроенной в игру SecuROM, приобретя ограниченную по времени лицензию на ее использование. В результате в октябре 2019 года владельцы лицензионных копий игры лишились возможности пользоваться честно приобретенным товаром.

Пикантности данному случаю придает тот факт, что издатель обратил внимание на проблему лишь после многочисленных жалоб игроков: фактически неработающая игра свободно продавалась в Steam на протяжении нескольких месяцев после истечения лицензии на DRM. Когда же проблема получила широкую огласку, Disney перешел к решительным действиям и… удалил игру из магазина. Патч для Tron: Evolution, убирающий из дистрибутива SecuROM, так и не был выпущен.

Впрочем, доступа к играм можно лишиться даже из-за обычной безалаберности разработчиков. Например, 8 ноября обладатели игр с внедренной Denuvo не могли запустить их в течение приблизительно 10 часов, а все из-за того, что создатели защиты забыли продлить домен, к которому игра обращается для подтверждения активации.

Отсутствие DRM позволяет избежать проблем с совместимостью.

За примерами далеко ходить не надо. В том же GOG сейчас можно приобрести классическую трилогию Prince of Persia, первую и вторую части The Suffering, F.E.A.R. 2: Project Origin и множество других игр, которые изначально разрабатывались для Windows XP/Vista, однако прекрасно работают и на Windows 10.

В то же время, будучи «счастливым» обладателем лицензионных дисковых версий от «Акеллы» или «Нового Диска», вы не сможете даже запустить перечисленные игры на современных системах, а все благодаря одиозной StarForce, попортившей в свое время немало крови не столько пиратам, сколько законопослушным геймерам: эта DRM была настолько сурова, что отказывалась признавать самые что ни на есть подлинные CD и DVD, требовала от пользователей удалять любые «подозрительные» (по мнению драйвера) программы, доводила операционную систему до BSOD, в довесок выводя из строя дисководы. И кстати, без привода оптических дисков, который сегодня есть далеко не у всех, эти игры также невозможно запустить.

Современные DRM в этом смысле ничуть не лучше: проблемы с запуском игр с Denuvo уже возникли у обладателей процессоров семейства Alder Lake. В ноябре Intel опубликовала перечень игр, которые невозможно запустить на ПК, оснащенных новейшими CPU, из-за встроенной защиты, а причина возникновения данной проблемы заключается в том, что DRM не может распознать чипы на базе новой архитектуры. В качестве временного решения Intel предлагает геймерам активировать в BIOS функцию «Legacy Game Compatibility Mode», а после загрузки системы нажать на клавиатуре клавишу Scroll Lock. Хотя в будущем данную проблему обещают решить, нет гарантий того, что кто-либо озаботится выпуском патчей совместимости к следующему поколению процессоров, а значит уже через несколько лет все перечисленные игры благополучно «отыквятся».

Отсутствие DRM позволяет вам распоряжаться купленной игрой так, как вы того пожелаете.

Например, инсталляторы GOG позволяют установить на один ПК сразу несколько версий одной и той же игры, что может быть полезно тем, кто любит играть с модификациями или же увлекается их разработкой: вы сможете держать на одной машине сразу несколько билдов для экспериментов или несколько готовых сборок, включающих несовместимые между собой моды. Использование дистрибутива без DRM также позволяет избежать автоматической установки нежелательных патчей, способных сломать созданную вами сборку.

Кроме того, не будучи ограничены DRM, вы можете спокойно поставить купленные игры на домашний компьютер, ноутбук или рабочую станцию и играть там, где захотите, даже при полном отсутствии интернета, не заморачиваясь с активацией или семейным доступом.

Отсутствие встроенной защиты также позволяет обезопасить вашу игротеку путем создания необходимого количества резервных копий, которые можно хранить любым удобным для вас способом. Наконец, дистрибутив игры без встроенной защиты можно записать на DVD или Blu-ray, поместить диск в стилбокс, распечатать эффектную наклейку и обложку для футляра и создать собственное коллекционное издание любимой игры, способное украсить полку любого заядлого геймера.

К слову, GOG может вам помочь и здесь, ведь в комплект со множеством игр уже включены цифровые артбуки и другие графические материалы в хорошем качестве, которые можно использовать для изготовления самодельной коллекционки.

Как мы смогли убедиться, DRM вовсе не является чем-то безобидным и вряд ли когда-либо станет, поскольку любой крупный издатель заинтересован в получении максимального контроля над каждой проданной копией игры. Дело отнюдь не только в борьбе с пиратством: уже сейчас привязка к онлайну позволяет извлекать дополнительную прибыль даже из сингловых проектов посредством продажи дополнительного контента и услуг через встроенный магазин наподобие того, как это реализовано во free-to-play MMO. А когда речь заходит о деньгах, такие «мелочи», как удобство покупателей или сохранение культурного наследия (ведь компьютерные игры вполне можно рассматривать как одну из форм искусства), отходят на второй план.

Но пока существует GOG и другие аналогичные сервисы, пока подобные площадки продолжают держаться единожды избранного курса, не идя на поводу у издателей, которых вовсе не заботят интересы конечного потребителя, мы с вами все еще можем покупать игры без DRM, собирать коллекции и играть в сингловые проекты именно так, как нам того хочется. И чем больше будет прецедентов, подобных удалению Hitman из GOG, тем дольше у нас с вами будет оставаться такая возможность.

Возьмём приложение «Проверка чека» и разберемся что оно делает и зачем ваще кому-то понадобилось проверять чеки с помощью приложения.

Я не помню как это работало раньше, но с 2016-2017 годов, благодаря 54-ФЗ «О применении ККТ» появились некие ОФД с целью «...осуществления операций по приёму, обработке, хранению и передаче фискальных данных в ФНС», а всех кого только можно обязали использовать кассовое оборудование, генерирующее те самые фискальные данные и что немаловажно, обязали эти данные посредством ОФД передавать в ФНС.

Если у вас тоже немного припекает от всех этих аббревиатур, то вот вам терминальная стадия аббревиатуринга в лице названия организации которая отвечает за приложение «Проверка чека» — ФГУП ГНИИВЦ ФНС РФ.

К этому моменту — мы еще вернёмся, кстати.

Прикладной смысл вышеописанного очень лёгко понять на примере сервиса заказа еды.

После заказа вы получаете на почту электронный чек, это и есть те самые фискальные данные. Отправляет их в ваш адрес, однако, не сервис заказа еды, а именно ОФД, которое используется сервисом, в данном случае — Яндекс

Любой подобный чек всегда содержит несколько обязательных идентификаторов в натуральном виде и в виде QR-кода, который можно отсканировать с помощью исследуемого нами приложения «Проверка чека».

В итоге, в приложении «Проверка чека», появляется электронная копия данного чека и тут я хочу обратить ваше внимание на атрибутивный состав кортежа с данными, а именно, на полный и детальный список чего и когда и за сколько денег моя персона приобрела, это — важно.

Но всё бы ничего, если бы не один недавний апдейт данного поделия, который и привёл меня в ужас. До недавних пор приложение оперировало лишь теми данными которые ты сам соизволил туда засунуть путём сканирования QR-кодов и не представляло, ни особого интереса, ни особой угрозы личной безопасности.

Всё изменилось две недели назад после обновления 2.15.0 в рамках которого был выкачен функционал «отображение чеков из сервиса Мои Чеки Онлайн».

Если пройти аутентификацию в приложении «Проверка чека» указав номер телефона, который вы так же используете в популярных сервисах, например, в Яндекс.Еде, Яндекс.Такси, Самокате, Ситимобиле и других, то в разделе «Мои чеки» автомагически будут отображены все ваши чеки по всем операциям в этих сервисах за «всё время».

В моём случае, это порядка 400 чеков, каждый из которых содержит детальный набор «сколько, за что, когда и куда».

Мне сразу же стало интересно насколько хорошо подобный массив данных защищен и может ли предполагаемый злоумышленник получить несанкционированный доступ к нему.

Для исследования я поставил в разрыв между интернетом и приложением «Проверка чека» простой прокси и записывая сетевую активность приложения потыкал в кнопки.

Довольно быстро выяснилось, что эндпойнт с данными находится по адресу irkkt-mobile.nalog.ru:8888 на котором живёт простейшее приложение на NodeJS с применением фреймворка Express, а механизм аутентификации пользователя пускает тебя к данным, если ты верно указал заголовок «sessionId» значение которого представляет из себя какой-то самопальный токен генерирующийся на стороне сервера.

При этом, если нажать кнопку «Выйти» в приложении «Проверка чека», то как оказалось, инвалидации данного токена не происходит. Так же нет функционала просмотра всех своих сесссий и нет кнопки «Выйти на всех устройствах».

Таким образом даже если вы каким-то образом поняли что токен доступа был скомпрометирован, то нет никакой возможности его сбросить и тем самым гарантировать с этого момента отсутствие у предполагаемого злоумышленника доступа к вашим данным.

Крайне безответственно, но не фатально.

В процессе просмотра «улова» на промежуточном прокси я обратил внимание, что в случае крэша приложения оно отправляет диагностические данные в Sentry располагающийся по адресу не связанному, ни с ФНС, ни с ФГУП ГНИИВЦ ФНС РФ, а на домен зарегистрированный на физическое лицо — sentry.studiotg.ru.

Рядом сразу же был обнаружен gitlab.studiotg.ru.

Дальнейшее исследование эндпойнта привело к ссылками на публичные репозитории в этом Гитлабе находящиеся в индексе Гугла уже более года.

Содержимое публичных репозиториевзаставило меня биться в истерике.

Пояснение к скриншоту выше: папки содержащие подстроки «lkio», «lkip», «lkul» напрямую относятся к одноименным сервисам ФНС на домене nalog.ru.

— lkio.nalog.ru

— lkip.nalog.ru

— lkul.nalog.ru

Для сверки, что обнаруженные исходники действительно относятся к сервисам ФНС, проведена простая проверка наличия на боевом веб-сервере файла uppod-styles.txt, который не мог там оказаться по случайному совпадению.

Фактический разработчик мобильного приложения «Проверка чека» некая studiotg.ru.

Вероятно есть нарушение соглашений об обработке персональных данных в силу передачи диагностических сведений со стороны ФГУП ГНИИВЦ ФНС РФ в адрес третьих лиц.

Данные ребята так же причастны к разработке сервисов lkip.nalog.ru, lkul.nalog.ru и lkio.nalog.ru.

По их вине исходный код данных сервисов находится в публичном доступе уже около года.

Исходя из общей картины, предположу, что данные о ваших покупках попадающие в ОФД путём информационного обмена фискальными данными с ФНС, на текущий момент, находятся под угрозой утечки.