IT之家 1 月 22 日消息，技術(shù)博客 Xmrcat 昨日（1 月 21 日）發(fā)布博文，報道稱 Steam 客戶端存在隱私機制漏洞，“隱身”（Invisible）和“離線”（Offline）狀態(tài)實際上是一種“UI 幻覺”（UI illusion）。

技術(shù)分析指出 Steam 的后臺連接管理器（Connection Manager）并未因用戶切換狀態(tài)而停止工作。無論用戶是否將個人資料設(shè)為“隱身”，或者手動選擇“離線”，后臺仍會持續(xù)向所有好友的客戶端發(fā)送即時活動信號。

該博客認(rèn)為該機制不僅繞過了前端的顯示邏輯，甚至無視了平臺提供的隱私保護(hù)選項，相當(dāng)于將用戶的實時在線日志毫無保留地推送給了好友列表中的每一臺設(shè)備。

用戶調(diào)整狀態(tài)（如登錄或退出）后，Steam 客戶端都會廣播原始的 Unix 時間戳。對于普通用戶而言，好友列表確實會將該用戶歸類在“離線”一欄，視覺上看不出異樣；但對于接收端設(shè)備而言，客戶端軟件實際上已經(jīng)確切知曉了該用戶“上一秒剛剛下線”或“此刻剛剛登錄”的精準(zhǔn)時間數(shù)據(jù)。

IT之家援引博文介紹，攻擊者可以通過攔截和解析 ClientPersonaState 的 Protobuf（協(xié)議緩沖區(qū)）消息負(fù)載，提取出目標(biāo)對象的真實活動數(shù)據(jù)。

他人通過長期收集這些“隱形”的上下線時間戳，可以在用戶毫不知情的情況下，繪制出用戶的睡眠周期、游戲習(xí)慣以及生活作息圖譜。

Xmrcat 向 Valve 報告了該問題，并舉例展示了在好友“隱身”數(shù)周的情況下，利用數(shù)據(jù)洞察該好友日�；顒�。不過該工單被標(biāo)記為“僅供參考”并關(guān)閉，Valve 指出這些數(shù)據(jù)包只會發(fā)送給 Steam 好友，從某種意義上來說，雙方存在某種信任關(guān)系。