Los jugadores de Minecraft se despertaron hoy con una noticia bomba que pasó desapercibida, comunicada por la persona que más sabe de capas de Java. James090500, creador del mod MinecraftCapes y de su galería asociada, acaba de declarar que la esperada capa de Halloween no es real. Es el resultado de un exploit que funciona en un servidor polaco no oficial y que puede firmar perfiles arbitrarios de Minecraft con firmas válidas de Mojang.
La filtración original apareció hace cuatro días: dos capturas de pantalla nítidas de una capa con temática de calabazas que parecía exactamente algo que Mojang lanzaría para la temporada. Muchos creadores y servidores empezaron a planificar eventos en torno a ella. Entonces, la cuenta de MinecraftCapes siguió el rastro y se topó con una barrera que no debería existir.
Toda esta situación con la capa de Halloween es una LOCURA. Ya no creemos que sea una capa real, sino que un servidor polaco no oficial de Minecraft ha encontrado un exploit para firmar perfiles de Minecraft con una firma válida. ¡Esto NO debería ser posible!
Por ahora, el exploit parece limitado a ese único servidor no oficial, pero sus implicaciones abarcan todos los lanzadores de Java, todos los mods de capas y todos los servidores que confían en los datos de perfil firmados. Si se pueden falsificar las firmas, la línea entre los cosméticos oficiales y las falsificaciones creadas por jugadores acaba de desaparecer. Mojang aún no ha hecho comentarios; los canales habituales de lanzamientos de capas siguen en silencio.
James090500 lleva cartografiando capas oficiales, de creadores y filtradas desde 2015. Cuando afirma que la cadena de firmas no es correcta y señala un endpoint público que lo demuestra, la comunidad de Java presta atención. La publicación de la filtración original ya supera las 100.000 visualizaciones. La rectificación de hoy se está difundiendo igual de rápido.
Por ahora, el consejo es sencillo: considera no verificados todos los eventos o descargas de la nueva capa de Halloween. La textura funciona, la firma se valida, pero la fuente es un servidor que no tendría por qué tener las claves privadas de Mojang. Cómo lo consiguieron exactamente es la pregunta que todo el mundo se hace esta noche.
