Os jogadores de Minecraft acordaram hoje com uma notícia bombástica e discreta vinda da pessoa que mais entende de capas de Java. James090500, criador do mod MinecraftCapes e da galeria que o acompanha, acabou de declarar que a tão comentada capa de Halloween não é real. Ela é resultado de um exploit em execução em um servidor polonês pirata, capaz de assinar perfis arbitrários de Minecraft com assinaturas válidas da Mojang.
O vazamento original surgiu há quatro dias: duas capturas de tela nítidas de uma capa com tema de abóbora, que parecia exatamente algo que a Mojang lançaria para a temporada. Muitos criadores e servidores começaram a planejar eventos em torno dela. Então, a conta do MinecraftCapes seguiu as pistas e deu de cara com um obstáculo que não deveria existir.
Toda essa situação da capa de Halloween é INSANA. Não acreditamos mais que seja uma capa real; em vez disso, um servidor polonês pirata de Minecraft descobriu um exploit para assinar perfis de Minecraft com uma assinatura válida. Isso NÃO deveria ser possível!
Por enquanto, o exploit parece estar limitado àquele único servidor pirata, mas as implicações abrangem todos os launchers de Java, todos os mods de capa e todos os servidores que confiam em dados de perfil assinados. Se as assinaturas podem ser falsificadas, a linha entre cosméticos oficiais e falsificações feitas por jogadores simplesmente desapareceu. A Mojang ainda não se pronunciou; os canais habituais de lançamento de capas continuam em silêncio.
James090500 mapeia capas oficiais, de criadores e vazadas desde 2015. Quando ele diz que a cadeia de assinaturas está errada e aponta para um endpoint público que comprova isso, a comunidade de Java presta atenção. A publicação do vazamento original já ultrapassou 100 mil visualizações. A reviravolta de hoje está se espalhando com a mesma rapidez.
Por enquanto, o conselho é simples: trate quaisquer novos downloads ou eventos relacionados à capa de Halloween como não verificados. A textura funciona, a assinatura é validada, mas a origem é um servidor que não deveria ter acesso às chaves privadas da Mojang. Como exatamente conseguiram fazer isso é a pergunta que todo mundo está fazendo esta noite.
