Сегодня игроки Minecraft проснулись и узнали сенсационную новость от человека, который знает о плащах Java больше всех. James090500, создатель мода MinecraftCapes и сопутствующей галереи, только что заявил, что разрекламированный хэллоуинский плащ ненастоящий. Это результат эксплойта на польском пиратском сервере, который позволяет подписывать произвольные профили Minecraft действительными подписями Mojang.
Изначальная утечка появилась четыре дня назад: два чётких скриншота плаща с тыквенной тематикой, который выглядел в точности как сезонный предмет от Mojang. Многие авторы контента и серверы начали планировать события вокруг него. Затем аккаунт MinecraftCapes проследил источник и упёрся в то, чего не должно существовать.
Вся эта история с хэллоуинским плащом — НЕЧТО. Мы больше не считаем его настоящим плащом: польский пиратский сервер, похоже, нашёл эксплойт, позволяющий подписывать профили Minecraft действительной подписью. Такого НЕ ДОЛЖНО быть возможно!
Пока что эксплойт, похоже, ограничен одним этим пиратским сервером, но последствия затрагивают все Java-лаунчеры, все моды плащей и все серверы, доверяющие данным подписанных профилей. Если подписи можно подделывать, граница между официальной косметикой и пользовательскими подделками просто исчезла. Mojang пока не прокомментировала ситуацию; обычные каналы с новостями о выходе плащей молчат.
С 2015 года James090500 отслеживает официальные плащи, плащи от авторов контента и утечки. Когда он говорит, что цепочка подписи нарушена, и указывает на общедоступный эндпоинт, который это доказывает, сообщество Java прислушивается. Исходная публикация об утечке уже набрала более 100 тысяч просмотров. Сегодняшний разворот распространяется не менее быстро.
Пока совет прост: считайте любые новые загрузки хэллоуинского плаща или мероприятия с ним непроверенными. Текстура работает, подпись проходит проверку, но источник — сервер, которому ни при каких обстоятельствах не должны быть доступны закрытые ключи Mojang. Все сегодня вечером задаются одним вопросом: как именно им это удалось?
