La filtración de Steam muestra por qué los servidores antiguos todavía importan

Una enorme colección de archivos de juegos antiguos de Steam comenzó a circular en línea este fin de semana, exponiendo más de una década de historia de los juegos de PC del sistema anterior de servidores de Valve, según reportes de Ars Technica. La colección tiene cerca de 12 terabytes, lo cual es lo bastante grande como para guardar millones de documentos o muchos miles de versiones de juegos, y parece incluir archivos relacionados con títulos de Steam de 2003 a 2013.

Steam es la tienda digital y el sistema de entrega de Valve para juegos de PC. Cuando un usuario hace clic en instalar o actualizar, la parte visible es sencilla, pero detrás hay un sistema de distribución de contenido: servidores, estructuras de archivos, permisos, registros de versiones y herramientas de descarga que mueven archivos de juegos desde el almacenamiento de una empresa hasta la computadora de un cliente. Según los reportes, el material filtrado proviene de Steam2, una arquitectura de servidores más antigua que Valve reemplazó en 2013 con el sistema actual SteamPipe.

Esa fecha importa porque el trabajo de software no se trata solo de la aplicación más nueva. Las empresas a menudo dependen de sistemas más antiguos, llamados sistemas heredados, mucho tiempo después de que las personas que los construyeron se han ido. Un sistema heredado todavía puede guardar archivos valiosos, credenciales antiguas, interfaces olvidadas o supuestos de seguridad desactualizados. En este caso, Ars informa que la colección filtrada incluye miles de depósitos. Un depósito es un paquete de contenido de juegos en el sistema interno de Steam, como una versión de un juego, una versión de prueba o un conjunto de archivos usados para la instalación.

Para los desarrolladores de juegos, una versión es una versión funcional de software en un momento determinado del desarrollo. Las versiones de lanzamiento público son las versiones que los clientes debían jugar. Las versiones previas al lanzamiento, los prototipos y las versiones de prueba de juego son diferentes: pueden incluir niveles sin terminar, arte temporal, mecánicas sin usar, archivos provisionales o experimentos de desarrolladores. Ars informa que la colección incluye material temprano o eliminado de juegos conocidos, incluidas versiones jugables previas al lanzamiento de Portal 2 y material temprano relacionado con Left 4 Dead 2, Counter-Strike: Global Offensive y otros títulos.

La filtración es interesante para los aficionados porque podría recuperar material que los archivistas creían perdido. Un archivista digital conserva software, archivos, metadatos y contexto para que los futuros investigadores puedan entender cómo se hizo el trabajo digital. A diferencia de un libro impreso, un juego puede depender de servidores, formatos de archivo, herramientas, sistemas operativos y licencias que cambian o desaparecen. Si una versión antigua existe solo en un disco duro envejecido o en un servidor retirado, puede desaparecer aunque el juego final siga siendo famoso.

El mismo evento también es una historia de seguridad. Ars informa que varios observadores de Valve y moderadores de la comunidad dijeron que los archivos podrían haber estado disponibles mediante un punto final de API público. Una API, o interfaz de programación de aplicaciones, es una puerta controlada que permite al software solicitar datos de otro sistema. Un punto final es una dirección o función específica dentro de esa puerta. Una API bien diseñada debería devolver solo aquello a lo que un usuario o sistema está autorizado a acceder. Si un punto final antiguo expone archivos que nunca fueron destinados al público, el problema podría no ser un hackeo como en las películas; podría ser una falla de configuración, control de acceso o mantenimiento.

Esa diferencia importa para las rutas de CTE porque el trabajo real de ciberseguridad a menudo parece menos dramático que entrar a un sistema. Puede significar auditar servicios antiguos, revisar permisos, documentar qué datos devuelve cada punto final, retirar infraestructura sin usar y comprobar si el acceso público realmente está planeado. El trabajo requiere leer registros, entender el tráfico de red, saber cómo se organiza el almacenamiento y tener suficiente paciencia para seguir cómo cambió un sistema a lo largo de los años.

La filtración se está difundiendo por BitTorrent, un método de intercambio de archivos entre pares en el que los usuarios descargan partes de un archivo de muchos otros usuarios en lugar de un servidor central. Eso hace que sea difícil eliminar la colección cuando existen muchas copias. Para cualquier empresa, esto recuerda que el control digital es más fuerte antes de que los archivos escapen. Después, el trabajo cambia hacia la respuesta a incidentes: descubrir qué ocurrió, qué archivos quedaron expuestos, si se incluye algún material privado o de socios, y cómo evitar el mismo error en otro lugar.

También hay una lección del lado de producción. Valve cambió de Steam2 a SteamPipe en 2013. Ars informa que SteamPipe usaba árboles de archivos HTTP estándar y hacía las actualizaciones más eficientes al descargar solo diferenciales de archivos, es decir, solo las partes modificadas en vez de todo el conjunto de archivos. Ese es el tipo de mejora interna que los clientes tal vez apenas noten, pero afecta el ancho de banda, la velocidad de los parches, el flujo de trabajo de los desarrolladores y los cuellos de botella de aprobación.

Los empleos relacionados con un sistema como este no son todos iguales. Un ingeniero de sistemas internos diseña los servicios que almacenan y entregan archivos. Un ingeniero de lanzamientos prepara versiones para que la versión correcta llegue a los usuarios correctos. Un probador de QA, abreviatura de probador de aseguramiento de calidad, revisa si una versión funciona y si un parche rompe algo. Un analista de seguridad busca datos expuestos y controles de acceso débiles. Un especialista en preservación digital se concentra en mantener el software histórico utilizable y comprensible. Esta sola filtración toca todos esos roles.

También muestra por qué la documentación y la gestión de recursos son habilidades de empleabilidad, no tareas molestas de papeleo. Si una empresa no sabe qué contiene un servidor antiguo, quién puede acceder a él o qué archivos deben conservarse, el riesgo crece con el tiempo. Al mismo tiempo, la preservación tiene valor: los prototipos y el contenido eliminado pueden mostrar cómo se tomaron decisiones creativas y técnicas. La parte difícil es equilibrar el interés público en la historia con los derechos de los desarrolladores, las editoras y los dueños de plataformas que nunca quisieron que todos los archivos de prueba se hicieran públicos.