Epic Games анонсировала EAC Linux v2 - обновлённую версию системы защиты от читеров Easy Anti‑Cheat (EAC) для Linux. Цель разработчиков довести уровень защиты на Linux до уровня Windows‑версии античита.
Новая версия античита будет опираться не на модуль ядра, а на встроенные механизмы безопасности Linux:
-
измеренную загрузку (measured boot).
-
режим блокировки ядра (kernel lockdown) в режиме целостности.
-
поддержку IOMMU.
-
eBPF‑логику и LSM BPF для детального контроля доступа и мониторинга.
Первым проектом для тестирования EAC Linux v2 станет Fortnite: в нём систему опробуют в реальных условиях, а затем доработают на основе полученных данных. После проверки эффективности решение планируют предоставить и другим разработчикам игр.
Для работы EAC Linux v2 нужны следующие настройки и возможности:
-
Подписанные ядро и модули ядра. Ядро и загружаемые модули должны быть подписаны известными ключами, что исключает использование модифицированных ядер, которые могут обманывать проверки целостности.
-
TPM 2.0. Модуль доверенной платформы нужен для создания защищённого журнала загрузки, который античит сможет проверить. TPM 2.0 должен быть включён в BIOS.
-
Secure Boot. Безопасная загрузка гарантирует, что на каждом этапе загрузки запускается только проверенный код. Требуется включить Secure Boot и использовать только известные ключи.
-
Measured Boot. Процесс записи метаданных о конфигурации системы и загружаемом коде в защищённые регистры (PCRs). Обычно это делают загрузчики вроде systemd‑boot и GRUB.
-
IOMMU. Технология управления доступом устройств к памяти. Для стационарных ПК требуется включить IOMMU в BIOS и настроить ядро Linux с отключённым passthrough.
-
Kernel Lockdown в режиме целостности. Этот режим запрещает даже root‑пользователю выполнять операции, которые можно использовать для обхода защиты (загрузка неподписанных модулей, запись в физическую память и др.). Должен быть явно включён при загрузке.
-
Отключённый kexec. Функция загрузки нового ядра без перезагрузки позволяет обойти этапы загрузки и скрыть изменения. Её требуется отключить, чтобы журнал измеренной загрузки оставался достоверным.
-
LSM BPF. Модуль безопасности на базе eBPF позволяет контролировать доступ к памяти защищённых процессов и отслеживать подозрительные действия без использования собственного модуля ядра.
На текущий момент в качестве доверенных ключей для secure boot планируются ключи от Ubuntu, Debian, Fedora, Suse, Rocky, Microsoft, Alma, Universal Blue (Bazzite).
При первом запуске игры с EAC Linux v2 игроку предложат установить systemd‑сервис античита, который выполняет работу только во время запуска защищённой игры.
