概要：我们在多种主板上发现了一个重大漏洞，可能导致隐藏代码注入。如果你的系统受到影响，Vanguard将弹出VAN:Restriction提示，帮助你完成主板的硬件升级。

大家好。

我是Mohamed，也就是X上的ItsGamerDoc。这是我在拳头游戏写的第一篇正式文章。反作弊厨房一直油烟不断，给作弊者端出一锅又一锅封禁大餐，不过今天的主菜不是封禁。我想着重讲一讲幕后备的一道菜：有了我们新的安全强化措施，就能把DMA作弊做成……下酒菜。

行了，不说吃的了。在不远的未来，Vanguard将对部分玩家采取更严格的系统预引导安全检查。

你问为什么？今年早些时候，我们发现了一个重大漏洞，波及到了市面上的多种主板。该问题可能导致硬件作弊工具在主机安全设置启用的状态下，绕过系统检测，暗中注入代码。

以下是具体情况分析，以及更重要的，如果你受到影响，该如何处理。

“谁先加载？”的问题 

要理解这次安全强化，得从电脑的正常启动流程说起。你的电脑刚启动时，处于最高权限状态：拥有对整个系统和所有连接硬件的完全无限制访问权限。系统首先会加载并执行初始固件（通常是UEFI），随后启动硬件、软件和安全初始化的链式流程。在这一切之后，控制权才会交给操作系统，也就是我们通常认知中的“电脑”。

这套流程的问题就在于，先于这套链式流程加载的组件，通常会享受更高权限，能够操控后续加载的组件。这一点，开发作弊代码的人也非常清楚。不幸的是，支持游戏运行的操作系统，在这个过程中几乎是最后加载的。也就是说，作弊代码可以赶在操作系统及其中运行的所有内容的防护措施生效之前，抢先加载、获取更高权限、成功隐藏在系统中。

还好有Secure Boot、VBS和IOMMU等防护功能来保护电脑的安全。在大多数情况下，上述功能如果已经开启并正常工作，就能有效避免此类攻击。

Vanguard的策略很简单：围绕Windows系统的核心建立一个防护层，尽早开始对系统安全的守护。如果作弊代码抢在我们之前加载，就更有可能藏到无法发现的位置。这样一来，作弊代码就能在系统中销声匿迹，为游戏造成我们无法容忍的持续干扰。

发现问题：沉睡的保镖

还记得几分钟前，我们提到现有的防护措施都很有效，只要能够正常运行？现在让我们来讲讲其中一个，IOMMU。

多年来，最有效（也是最昂贵）的作弊方式，都会涉及到DMA（直接内存访问）设备。

DMA加速卡是一种无需通过CPU和Windows系统、可直接读写内存的硬件设备，只需插入电脑即可运作。为防御此类攻击，我们采用了IOMMU（输入输出内存管理单元）硬件防护机制。你可以把IOMMU看作RAM的保镖，它会检查所有试图读写内存的设备ID，阻拦不在嘉宾名单上的设备。

“预引导DMA防护”是一项内置于设备BIOS/固件的安全特性，可在系统启动初期即调用IOMMU内存管理单元，阻止恶意DMA设备在引导阶段对系统内存的非法访问。这样一来，操作系统就能确信，其所运行的硬件平台在初始化阶段就已具备可预测的安全完整性。这些当然都很棒，但只是在理论上……因为这同时意味着操作系统本身必须信任防护机制。

这也正是Vanguard团队在研究中所看到的。有时，硬件制造商的固件会向操作系统发出错误信号，表示防护机制已完全启用，而实际上，在前期启动阶段，IOMMU并没有正确开启。

也就是说，虽然BIOS中显示“预引导DMA防护”设置已经启用，但在启动流程最初的几秒内，系统并未在实际硬件层面完整初始化IOMMU功能。简单来说，就是系统的“保镖”看上去已经到岗，其实是在椅子上打盹。于是，在系统完全加载后，就无法100%保证没有任何破坏完整性的代码通过DMA被注入。

这个时间差虽然很短，但足以让精心设计的硬件作弊程序潜入、注入代码，并在Vanguard启动前隐藏自己了。

解决方案：联合升级

今年早些时候，我们与硬件合作伙伴分享了自己的发现，他们全程积极配合，确认问题后推出了全面BIOS升级，以填补缺口。 

不要只听我们说——以下是各大硬件制造商发表的安全建议： 

这些升级将确保防护功能启用后，将在电脑开启后的一毫秒之内生效。

收到Restriction（限制）通知后该怎么做？

Vanguard通过VAN:Restriction系统，告诉玩家由于上述防护功能没有启用，我们无法保证系统的完整性。你将无法启动《无畏契约》，同时还会看到弹出窗口，说明要继续游戏需要哪些操作。当我们发现可疑硬件行为或数据异常时，就会在账号或硬件ID的层面采取这些限制。异常出现的原因，可能有各种因素，包括防护措施未启用，或是这一次新发现的，导致IOMMU失灵的预引导漏洞。收到一次警告，并不代表我们怀疑你作弊，而是说你当前的系统配置与某些绕过安全机制，以逃避Vanguard监测的作弊者特征高度吻合。 

这个最低安全基准线，对于拦截作弊者来说至关重要。如果受到限制，我们会提示你启动上述功能，或按照主板制造商的官方说明，升级主板固件，然后才能开始游戏。更多关于限制的说明，请参见客户服务页面。

此外，我们正在考虑在最高级别（超凡及以上）的游戏中，全面推行这项要求的可能性，以确保天梯最高级的完整性基准。

目标

BIOS升级，看上去没有封禁人数那么刺激，但这是对抗硬件作弊不可或缺的一种手段。填补这个预引导漏洞后，就能阻截一整类此前无法处理的作弊者，显著提高不公平游戏的成本。

这整个过程是一次重大突破，不仅对我们的反作弊系统而言，更可以说是超越了拳头游戏，造福游戏行业。这种级别的作弊手段采用的途径十分特殊，一般的反作弊系统都没有覆盖。如果没有及时发现该问题，可能导致市面上全部现有DMA检测和防护技术完全失效，包括其他公司的技术。

如果你想赶在这套流程之前完成升级，让自己的排位之旅更加顺畅，可以主动访问制造商的主页，将你的主板固件升级到最新版本。提升游戏行业整体安全水平，从2021年起就是我们的核心关注点之一。目前，行业中已普遍采用这些严格的安全措施，在很多文章中都有反映，比如Xbox的《构建可信任的游戏未来：用安全助力公平游戏》。在与作弊的战斗中，这些基本的安全要求都是不可妥协的底线。我们很自豪能率先实现这些安全技术的突破，并将持续为所有玩家维护公平可信的竞技环境。

我们知道，系统的更新维护需要付出很多努力。感谢大家为游戏公平性和安全性的贡献。如果你遇到了任何问题，请随时联系拳头客服，我们将提供通用指南，或指引你查阅设备制造商的官方资源（由于国服拥有独立的反作弊系统，具体信息以腾讯为准）。