El DRM más ambicioso de los 90: id Software encriptó todo su catálogo en un CD y lo rompieron en 39 días

En 1996, id Software tuvo una idea que parecía brillante: meter TODO su catálogo de juegos encriptado dentro de un solo CD, venderlo por $9.95 en CompUSA y desbloquear cada juego con una llamada telefónica. El plan murió en 39 días, destripado por un grupo de hackers que descubrió el secreto más vergonzoso de la historia del DRM: el código de desbloqueo no contenía ningún secreto.

El arqueólogo de software Fabien Sanglard acaba de publicar el análisis definitivo de este experimento, y la historia es tan absurda que parece inventada. Prepárate, porque la lección sigue doliendo 30 años después.

La era en que un CD-ROM era lujo

A mediados de los 90, un lector de CD-ROM costaba más que la mitad de un PC gamer actual. Pero su capacidad de 640 MiB —el triple del disco duro promedio de la época— prometía un mundo de multimedia.

El problema: los juegos no llenaban ni de lejos esa capacidad. Quake, el título insignia de id, ocupaba apenas 22 MiB. Y ahí nació la idea loca.

“¿Y si usamos el espacio sobrante para vender nuestro catálogo completo?”, debieron pensar en id. DOOM, DOOM 2, Heretic y Hexen, todos encriptados en el mismo disco. El jugador compraba el CD, llamaba al 1-800-ID-GAMES y recibía un código que desbloqueaba el juego que quisiera.

Un sistema que parecía a prueba de balas

La protección la diseñó TestDrive Corp, y en el papel era sólida. Cada ejecutable se “desnaturalizaba”: se reemplazaban los primeros 32 KiB con un header personalizado, se renombraba el archivo a .MJ3 y el header original se encriptaba como .ST3.

Intentar ejecutar un juego sin desbloquear mostraba el clásico “This application has been disabled”. Y el proceso de desbloqueo generaba un CHALLENGE de 11 dígitos que cambiaba cada 5 minutos, imposible de reutilizar.

El jugador dictaba el CHALLENGE por teléfono, pagaba, y recibía un SERIAL. Los checksums de ambos números mitigaban los errores de la línea telefónica. Todo olía a seguridad de verdad.

El error fatal: seguridad por oscuridad

El grupo GNOMON publicó QCRACK.EXE el 8 de octubre de 1996, solo 39 días después del lanzamiento. La herramienta generaba SERIALs válidos automáticamente desde cualquier CHALLENGE.

¿Cómo? Lo que GNOMON descubrió es la vergüenza que id quiso enterrar: el SERIAL no era un secreto. Era solo un comprobante de pago.

El programa FLOW.EXE que venía en el CD era capaz de generar el SERIAL por su cuenta. Lo único que hacía era comparar su SERIAL local con el que el usuario escribía: si coincidían, el juego se desbloqueaba. Toda la “seguridad” dependía de que nadie se diera cuenta de que el propio CD sabía generar la respuesta.

Y como si eso fuera poco, los hackers encontraron más joyas: una copia sin encriptar del archivo de productos (SKU.TXT), un typo que impedía desbloquear Final DOOM legalmente —los piratas tenían mejor experiencia que los que pagaban— y temporales de desarrollo olvidados en el disco.

La lección que las empresas siguen ignorando

id terminó con 150,000 CDs quemándole las manos en un almacén y una lección que la industria relearn cada año: la seguridad por oscuridad no es seguridad. Si el descifrador está en manos del atacante, el sistema ya está roto.

En 2026 seguimos viendo el mismo error con otros nombres: Denuvo, DRM online obligatorio, compras digitales que se revocan. El Quake Shareware CD fue la advertencia, y nadie la escuchó.

Lo más irónico de todo: hoy ese CD de $9.95 es pieza de colección, el número 1-800-ID-GAMES responde con un mensaje automático que intenta venderte cosas para ancianos, y la historia de QCRACK se enseña como el caso perfecto de por qué tu DRM nunca va a funcionar.

¿Crees que el DRM moderno es más sólido o solo más complicado? Comparte esto con alguien que todavía defiende la protección por oscuridad. 🔥