ИИтог

Steam2: утечка на 12 ТБ раскрыла забытую историю игр Valve

безопасностьРедакция ИИтогHacker News🔥77Рейтинг ИИтог77Влияние65Новизна75Релевантность65Неожиданность70Участники60Достоверность80
Steam2: утечка на 12 ТБ раскрыла забытую историю игр Valve

На выходных в BitTorrent-сети начал распространяться дамп объёмом более 12 ТБ, содержимое серверов Steam2, устаревшей системы распространения контента Valve, которую компания использовала для игр, загружавшихся на Steam с 2003 по 2013 год. Архив включает тысячи «депо», по сути, почти каждую версию почти каждой игры, когда-либо попадавшей на старые серверы Steam2: не только публичные релизные сборки, но и ранее не публиковавшиеся пре-релизные, прототипные и тестовые (playtest) версии популярных игр, как от самой Valve, так и от сторонних издателей Steam.

Утечка обрывается на 2013 году не случайно: именно тогда Valve перевела систему распространения контента со Steam2 на нынешний SteamPipe. Новая система заменила проприетарный формат файлов на стандартные HTTP-деревья, убрала часть внутренних барьеров на одобрение обновлений и сделала так, что патчи доставляются как разностные (differential) обновления, а не полными файлами заново. Ранние версии некоторых игр, вышедших до перехода на SteamPipe, архивисты давно считали утраченными: скачать их у самой Valve было уже нельзя, они сохранялись только как локальные копии на старых компьютерах отдельных энтузиастов.

Долгое время наблюдающий за Valve дата-майнер под ником Gabe Follower написал в соцсетях, что проверил: всё содержимое Steam2 Teraleak было получено через публично доступный API-эндпоинт, и в этом «вина Valve». Испаноязычный стример и аналитик по Valve под ником Scolcer (в переводе с испанского) описал источник схоже: материал был получен с сайта, на 100% доступного публично, скачать мог кто угодно, без паролей и какой-либо защиты.

Ключевые факты

  • Более 12 ТБ содержимого серверов Steam2 (игры с 2003 по 2013 год) утекли через BitTorrent-трекер
  • В дампе, тысячи «депо»: релизные сборки плюс ранее не публиковавшиеся пре-релизные, бета- и playtest-версии игр Valve и сторонних издателей
  • Данные обрываются на 2013 году, тогда Valve перевела дистрибуцию контента со Steam2 на нынешний SteamPipe
  • Дата-майнер Gabe Follower: весь материал получен через публично доступный API-эндпоинт Valve
  • Стример Scolcer: источник был доступен со стороны без паролей и вообще без защиты

Почему это важно

Это одна из крупнейших известных утечек, связанных с историей ПК-игр: почти для каждого тайтла, выходившего на Steam с 2003 по 2013 год, до сих пор существовала только официальная релизная версия. Утечка возвращает архивистам и исследователям пре-релизные, прототипные и тестовые сборки, которые считались безвозвратно утраченными, доступными разве что как локальные копии на старых машинах отдельных людей. Одновременно история показывает системную проблему: огромный массив внутренних данных Valve годами лежал за публично доступным API-эндпоинтом без какой-либо защиты.

Кому это важно

Историкам и архивистам видеоигр, впервые появляется шанс сохранить контент, который считался безвозвратно потерянным. Разработчикам и издателям, чьи неизданные прототипы и бета-версии оказались в открытом доступе, это публикация их внутренних материалов без ведома и согласия. Самой Valve и другим платформам-дистрибьюторам, урок о цене оставленной без присмотра легаси-инфраструктуры. Специалистам по безопасности, конкретный пример того, как формально выведенный из эксплуатации, но всё ещё живой API становится источником утечки на 12 терабайт.

Как это применить

Прямого практического применения для рядового читателя утечка не даёт: доступ к дампу идёт через торрент-трекер, который, по оценке статьи, Valve вряд ли сможет полностью зачистить из сети. Для архивистов и исследователей истории игр это повод обратиться к материалу ради сохранения и каталогизации утраченного контента. Для команд, отвечающих за инфраструктуру и API, повод свериться с собственными легаси-эндпоинтами: старая, формально закрытая система (как Steam2 после перехода на SteamPipe в 2013 году) может годами продолжать отдавать данные без всякой защиты.

Можно ли доверять

Материал опубликован Ars Technica, изданием с историей освещения утечек, связанных с Valve и Steam, что само по себе повышает доверие к разбору. Ключевое утверждение об источнике утечки, публично доступный API-эндпоинт без паролей, исходит не от самой Valve, а от двух сторонних наблюдателей, дата-майнера Gabe Follower и стримера Scolcer; официального подтверждения или комментария Valve в статье нет. Точная календарная дата начала распространения дампа не названа (только «на выходных»), как и то, кто именно собрал и выложил торрент.

Риски и подводные камни

Утечка затрагивает не только Valve, но и сторонних издателей Steam, чьи неизданные прототипы и тестовые сборки оказались в открытом доступе без их согласия, это может обернуться для издателей юридическими и репутационными проблемами. Поскольку данные раздаются через BitTorrent-трекер, который, по оценке статьи, вряд ли получится полностью удалить из сети, контроль над дальнейшим распространением архива фактически утрачен. Остаётся открытым и вопрос о том, что ещё, помимо игрового контента, могло быть доступно через тот же незащищённый API-эндпоинт.

«Мы проверили: всё содержимое Steam2 Teraleak было получено через публично доступный API-эндпоинт. Это вина Valve…»

— Gabe Follower, дата-майнер, наблюдающий за Valve