Por que o anti-cheat de torneios pode continuar no modo de usuário

Um driver de kernel enxerga mais. Ele também recusa PCs antigos e pede que cada jogador confie em um rootkit. O modo de usuário por padrão, com o kernel como uma escolha por evento, é a posição que sobrevive a esse compromisso.

O anti-cheat de kernel existe porque um programa executado no modo de usuário não consegue ver todos os outros programas na máquina. Um driver carregado na inicialização consegue. Essa vantagem é real. O custo também é. Um componente de kernel exige um driver assinado, uma configuração de segurança mais recente do Windows e um jogador disposto a dar a um cliente de torneio o mesmo privilégio do sistema operacional. A data do Windows 11 da FACEIT é esse custo chegando ao calendário.

A afirmação oposta, de que um cliente em modo de usuário "pega mais trapaças", não é uma afirmação que fazemos. Não pega. Qualquer um que diga a um organizador que um aplicativo de bandeja enxerga mais do que um driver de kernel está vendendo um slogan. A pergunta útil é diferente: quais verificações não precisam de ring-0 de forma alguma, e quais eventos valem as máquinas que você exclui quando liga o driver.

Três verificações não precisam de um driver de kernel.

A revisão de demos e replays no lado do servidor lê a partida que o servidor já gravou. Uma declaração do cliente não é a evidência. A demo é.

O comportamento ao longo da sessão — tempo de entrada, movimento, o formato de um round — pode ser pontuado após a partida a partir da telemetria que o servidor aceitou. Esse é um caso estatístico, não uma captura de tela da memória de outro processo.

Um humano, ou um modelo auxiliando um humano, pode olhar o que as regras já permitem que um oficial olhe: a demo, o relatório de pontuação, o pacote de disputa. A maioria dos casos de integridade competitiva em eventos de nível 2 envolve apostas, compartilhamento de contas e manipulação de resultados, e não um novo aimbot de kernel. O registro desses casos são documentos e vínculos de contas, os quais um driver não produz.

O cliente de desktop do TournamentSuite é executado em modo de usuário por padrão por esse motivo. Um componente de kernel existe como uma opção que um organizador ativa para um projeto específico, e não como o preço de instalação do aplicativo. A inscrição é um token de curta duração, o tráfego é criptografado e os envios de evidências são separados da confiança na máquina do jogador. A página do produto é anti-cheat.

O que não é enviado, e não deve ser implícito, é uma taxa de falsos positivos publicada. Não imprimiremos uma até que seja medida em eventos reais e o método esteja no mesmo documento que o número. Um relatório de transparência com uma taxa em branco é pior do que nenhum relatório.

O tratamento de casos — aviso, suspensão provisória, audiência, sanção publicada — é um fluxo de trabalho que um organizador já deve aos jogadores. O software pode armazenar o pacote. Ele não substitui o oficial que assina a decisão. O modo de usuário é o padrão porque a alternativa bloqueia uma grande fatia de PCs em 14 de outubro. O kernel continua disponível quando uma final compensa essa exclusão. O organizador escolhe. A plataforma não deve escolher por ele.