Ich baue die Systeme, die echten Spielern standhalten müssen.

Zuerst die Schwachstelle finden

Zu Beginn meines Studiums habe ich Schwachstellen auf der Website der Schule gefunden und den Administrator Schritt für Schritt durch sie geführt, damit sie behoben werden konnten. Ich habe nichts angefasst. Ich habe sie ihm nur gezeigt.

So arbeite ich bis heute. Auf einem Live-Server suchen Spieler jeden Tag nach Exploits. Also lese ich ein System so, wie es ein Angreifer täte, und schließe die Lücken, bevor jemand anderes sie findet. CTFs halten diesen Instinkt scharf, und ich baue gerade Luminol, einen Deobfuskator zum Prüfen von Garry’s-Mod-Addons.

Wie ich eine Live-Wirtschaft abgesichert habe →

Gefunden, behoben, ausgeliefert

• Spieler konnten Gegenstände über eine Zeitlücke beim Aufheben aus Kisten duplizieren. Gegenstände werden jetzt vor der asynchronen Verarbeitung reserviert und bei einem Fehler zurückerstattet.
• Über das Netzwerk übertragene Event-Daten verrieten genug, um bei einem Live-PvP-Event zu schummeln. Behoben mit einem Patch, der darauf ausgelegt war, sofort auf den Live-Server zu gehen.
• Die versteckten Daten einer Fingerabdruckkarte ließen sich vom Client aus bearbeiten. Änderungen akzeptieren jetzt nur noch bekannte Felder und werden auf dem Server gespeichert.
• Der Server akzeptierte eine vom Client gesendete Fraktions-ID, wenn Charaktere zwischen Fraktionen verschoben wurden. Er prüft die ID jetzt gegen seine eigenen Daten.
• Änderungen an Akten akzeptieren nur IDs, die der Server dem Spieler zuvor selbst gezeigt hat. Eine geänderte ID in der Anfrage bewirkt nichts.
• Ein Exploit über eine Kontextmenü-Aktion entfernte den Waffenrückstoß. Die Lücke ist geschlossen.

Langfristig, nicht stundenweise. Eine Vollzeitstelle in einem Security- oder Architektur-Team oder ein Retainer mit einem festen Stundenkontingent pro Monat: In beiden Fällen eine Zusammenarbeit, die Jahre hält, und eine stetige Vielfalt an Problemen, die ich verantworten darf.

Wer einen Setzling pflegt, erntet Früchte über sein eigenes Leben hinaus. So arbeite ich auch: Ich verantworte Ihre Systeme lieber über Jahre, als ein Feuer zu löschen und wieder zu gehen. Jemand auf Ihrer Seite verantwortet die Anforderungen; ich verantworte die Architektur, den Bau und dass das System gesund bleibt.

Sie sehen den Fortschritt laufend und nicht erst am Ende, und mit wachsendem Vertrauen wird der Prozess schlanker. Die Arbeit ist standardmäßig remote und asynchron, und ich bin offen für einen Umzug, wenn der Arbeitgeber ihn bezahlt. KI setze ich so ein, wie es ein Senior Engineer tun sollte: Ich entwerfe und steuere, sie beschleunigt den Bau. Stundenweise Aufträge und unbezahlte Probearbeit nehme ich nicht an.

Mit wem ich arbeite

• Game-Security- und Anti-Cheat-Teams sowie AppSec- und Security-Engineering-Teams, die einen Architekten suchen, der wie ein Angreifer denkt.
• CTOs und Gründer von Spielestudios und Game-Tech-Unternehmen mit echten Kunden und Systemen, die halten müssen.
• Security-Unternehmen, die jemanden brauchen, der baut und dabei den Instinkt eines Hackers hat.
• Betreiber großer Multiplayer-Plattformen und -Server, die einen langfristigen Architekten wollen.
• Deutschsprachige Teams: Ich bin zweisprachig mit Deutsch aufgewachsen.

Mehr als Code

Server, Wirtschaftssysteme, Sicherheit und Menschen sind alle Systeme, und mich interessiert am meisten, warum sie so kaputtgehen, wie sie es tun. Code ist mein Broterwerb. Das zu verstehen, beschäftigt mich immer wieder.

Ich suche ein Team oder einen Kunden, bei dem ich langfristig bleiben kann, keine Zwischenlösung: einen Ort, an dem die Probleme immer anspruchsvoller werden und die Systeme es wert sind, geschützt zu werden.

Ich wurde in Deutschland geboren und bin in Serbien aufgewachsen, von Kindheit an zweisprachig mit Serbisch und Deutsch. Englisch ist meine stärkste Arbeitssprache, und ich lerne Französisch. Neben der Arbeit lese ich über Mathematik, Philosophie und Psychologie und denke darüber nach.